MINE:挖矿木马4SHMiner利用漏洞针对云服务器攻击，已控制约1.5万台服务器挖矿

11月18日，腾讯安全威胁情报中心表示，腾讯主机安全捕获到挖矿木马4SHMiner利用ApacheShiro反序列化漏洞CVE-2016-4437针对云服务器的攻击行动。4SHMiner挖矿团伙入侵成功后会执行命令下载4.sh，然后下载XMRig挖矿木马并通过Linuxservice、systemctl服务，系统配置文件$HOME/.profile，crontab定时任务等实现持久化运行。通过其使用的门罗币钱包算力(约333KH/s)进行推算，4SHMiner挖矿木马团伙已控制约1.5万台服务器进行挖矿，根据算力突变数据可知其在2020.11.16至17日一天之内就新增感染近1万台机器。安全专家建议企业及时检查服务器是否部署了低于1.2.5版本的ApacheShiro，并将其升级到1.2.5及以上版本。

攻击者利用Hadoop Yarn REST API未授权漏洞攻击云主机，安装挖矿木马等:腾讯安全威胁情报中心检测到有攻击者利用Hadoop Yarn REST API未授权命令执行漏洞攻击云上主机，攻击成功后执行恶意命令，向系统植入挖矿木马、IRC BotNet后门、DDoS攻击木马，入侵成功后还会使用SSH爆破的方式进一步向目标网络横向扩散。

攻击者入侵成功后，会清理系统进程和文件，以清除其他资源占用较高的进程（可能是可疑挖矿木马，也可能是正常服务），以便最大化利用系统资源。入侵者同时会配置免密登录后门，以方便进行远程控制，入侵者安装的IRC后门、DDoS木马具备完整的目标扫描、下载恶意软件、执行任意命令和对特定目标进行网络攻击的能力。

通过对木马家族进行关联分析，发现本次攻击活动与永恒之蓝下载器木马关联度极高，攻击者使用的攻击套件与Outlaw僵尸网络木马高度一致，但尚不能肯定攻击活动由这两个团伙发起。

本次攻击具有蠕虫式的扩散传播能力，可下载安装后门、执行任意命令，发起DDoS攻击，对受害单位网络信息系统安全构成严重影响。建议用户尽快修复Hadoop Yarn REST API未授权命令执行漏洞，避免采用弱口令，采用腾讯安全的技术方案检测系统，清除威胁。[2021/1/28 14:14:13]

腾讯主机安全捕获WatchBogMiner挖矿木马新变种:腾讯主机安全（云镜）捕获WatchBogMiner挖矿木马最新变种对云主机的攻击，该变种利用Apache Flink任意Jar包上传导致远程代码执行漏洞入侵云主机，然后下载文件名为“watohdog”的门罗币挖矿木马。该挖矿木马最初的版本是针对Linux服务器利用Nexus Repository Manager、Supervisord、ThinkPHP等服务器组件的远程代码执行漏洞进行攻击。根据其最初下载的挖矿木马文件名，将其命名为“Watchbog”挖矿木马。腾讯安全近期检测到“Watchbog”挖矿木马的最新变种开始利用Redis未授权访问漏洞、Apache Flink远程代码执行漏洞入侵传播，根据其算力推测，该变种已控制约8000台服务器挖矿，挖矿收益折合人民币约1.2万元。（腾讯安全威胁情报中心）[2020/10/28]

腾讯御见：永恒之蓝出现新变种运行门罗币挖矿木马:7月9日，腾讯安全威胁情报中心发文称，检测到永恒之蓝下载器木马再次出现新变种，此次变种利用Python打包EXE可执行文件进行攻击，该组织曾在2018年底使用过类似手法。腾讯安全大数据监测数据显示，永恒之蓝下载器最新变种出现之后便迅速传播，目前已感染约1.5万台服务器，中系统最终用于下载运行门罗币挖矿木马。[2020/7/13]

标签：NERMINMINEINEMiner X Protocol MINIONSGoldMinerNominex

SHIB热门资讯