腾讯安全截获新WannaMine挖矿木马 波及14万台Linux系统设备

近期，腾讯安全御见威胁情报中心检测到WannaMine挖矿家族再度活跃，病毒作者增加Linux服务器为新的攻击目标，并为释放的DDoS木马起了一个颇有恶作剧色彩的名字“比尔盖茨”(BillGates)。经分析，该病毒伪装成Linux系统工具躲避杀毒软件查杀，横向传播局域网内其他电脑，并在内核中生成攻击数据包，避免被嗅探工具捕获。目前，腾讯电脑管家及腾讯御点终端安全管理系统已全面拦截并查杀该病毒。

此前，腾讯安全御见威胁情报中心曾接到客户求助，称部署的腾讯御界高级威胁检测系统提示，其公司网络正在遭受SSH服务器弱口令爆破攻击，危急之下，该公司安全人员第一时间联络腾讯安全技术专家请求协助分析威胁事件。

腾讯安全技术专家在征得客户同意后，提取御界的相关日志，对其进行分析从中提取出关键IOC信息，发现该公司遭受的CVE-2016-5195内核提权漏洞是由于感染WannaMine挖矿木马导致。由于发现及时，腾讯安全技术专家协助客户进行隔离、杀毒、修复安全漏洞，目前该公司并未遭受损失，同时网络入侵风险也随即解除。

事实上，早在2017年9月，腾讯安全御见威胁情报中心就已监测发现WannaMine挖矿家族活跃异常，其不仅使用弱口令爆破进行挖矿，而且还利用“永恒之蓝”等多个服务器组件漏洞发起攻击，给网络安全造成了极大的威胁。自今年6月开始，WannaMine在国内呈现新的快速增长趋势，数据显示，病毒感染率最高的城市为广东省，约有20.3%的受害者，目前已影响近14万台设备的安全。

攻击者普遍利用服务器存在的SSH、TELNET、MySQL等疏漏，使用工具批量扫描并植入Shell脚本，进而针对特定目标发动DDoS攻击。同时，木马还会在被感染电脑中留下后门，为后续的恶意攻击做足准备。

尤其需要注意的是，WannaMine挖矿木马兼具对抗杀软、清除挖矿竞品、持久化攻击等特点。首先通过SSH弱口令爆破成功后释放出DDoS木马，不断在内网扩散传播，攻击受害机器登录过的所有远程服务器;然后自动关闭、删除中招机器上安装的安全防护软件，将病毒守护脚本代码添加至Linux启动项、定时任务，以达到持久化;最后清除挖矿竞争对手，开启挖矿，并尝试利用Linux内核提权漏洞获取系统Root权限。

从上图中不难看出，早期WannaMine所使用的载荷托管IP地址经常改变，表明病毒可能使用某一台僵尸机用于托管载荷，每次进行更新后就更换一台。但在今年6月病毒更新迭代后，使用的载荷托管地址和载荷文件都与另一个黑客组织密切相关，且加入的代码位置、代码内容与之前的风格不符，呈现系统化、定制化特点。通过这两个重要特征，腾讯安全技术专家推断，WannaMine已经沦为“军火库”，开始为其他黑客组织提供定制化武器。

为进一步免受WannaMine挖矿木马的危害，腾讯安全反病毒实验室负责人马劲松提醒广大企业网络管理员，建议服务器关闭不必要的端口和共享文件，使用高强度密码，以防不法黑客破解;下载并更新Windows系统补丁，及时修复永恒之蓝系列漏洞;定期对服务器进行加固，及时修复服务器相关组件的安全漏洞;同时还建议企业用户选择使用腾讯御界高级威胁检测系统，及时发现黑客入侵渗透迹象，切实保护好企业自身的网络安全。