硬核截杀JavaXminer挖矿木马，360EDR破解“矿难”困局
2021-12-03
近十年来，加密货币的兴起和数字货币价值的不断增长，让“挖矿”和“炒币”的热潮持续走高。然而，盲目无序的发展挖矿活动，也为利用木马疯狂敛财的网络黑产提供了犯罪沃土，直接扰乱了我国正常的金融秩序。 过去十几年360政企安全集团持续针对各类木马进行长期追踪，尤其是在针对挖矿木马的检测拦截、溯源反制上积累了大量实战经验。其中，360政企安全集团高级威胁研究分析中心从2018年便开始了针对典型挖矿木马——JAVAXMINER家族的持续追踪。该家族多使用WEB服务类漏洞对OA系统、WEB服务器等进行攻击，更新迅速且频繁。同时，该家族具备WINDOWS、LINUX双平台的攻击能力，导致其攻击量在2020年至2021年有大幅度增加。
JAVAXMINER攻击趋势
关联WEB应用攻击整体趋势
入侵“排异”的JAVAXMINER家族
JAVAXMINER的入侵往往会利用新近曝出的WEB服务端1DAY或是NDAY漏洞，成本降低的同时，又可以较为轻易的获取未及时修补漏洞的服务器访问权限。比如ATLASSIAN CONFLUENCE在今年8月底发布的CVE-2021-26084 RCE漏洞，GITHUB上9月1日便出现了相应利用POC，紧接着在9月3日就出现了利用该漏洞对CONFLUENCE发起的攻击。
CVE-2021-26084 公开POC
JAVAXMINER对CONFLUENCE初次攻击
JAVAXMINER对CONFLUENCE攻击
随着OA系统漏洞的曝光，相应的攻击脚本也积极地被该挖矿家族利用。
JAVAXMINER对通*OA初次攻击
暴露于公网且存在漏洞的服务器很容易被各种木马给盯上，对于挖矿木马来说，在这种机器上常常会碰见自己的“同行”。为了最大程度地占据系统资源挖取货币，对“竞品”的清理工作在所难免，——在这一点上JAVAXMINER也不例外。
而被JAVAXMINER清理的竞品木马都是比较知名的家族，比如KINSING、WATCHBOG、MYKINGS、SYSRV-HELLO、SYSUPDATE、IMG001等。（注：IMG001之前未被公开报告，该家族出现时间较早，曾使用U盘蠕虫、内网横向渗透进行传播。）
清除竞品
清除竞品
JAVAXMINER家族的“常驻”策略
在入侵成功后的LINUX机器上，JAVAXMINER会通过CRONTAB创建计划任务，每5分钟访问一次HXXPS://PASTEBIN[.]COM/RAW/XXXXXXXX，获取内容执行。
LINUX计划任务
然而这些PASTEBIN粘贴板文本大多为无实质操作的语句，粘贴板名通常与相关脚本URL名和攻击手段、目标有关，其中对粘贴板的访问可直观地观察到入侵机器是否活跃和增长。并且创建者ID重复情况较多，可一定程度上作为该家族木马的关联。目前时间较早的粘贴板大部分已被删除，较近时间段（比如10月份）的URL则大多正常。
尽管绝大部分粘贴板未写入恶意命令，但其下发指令的能力是确实存在的。
PASTEBIN内容
在WINDOWS系统的机器上，JAVAXMINER同样会进行持久化，访问相应PASTEBIN数据执行——即使大部分均为无效指令。创建持久化任务的方式则是采用WMI SUBSCRIPTION事件或是SCHTASKS命令。
WINDOWS持久化
擅长多点开挖的“矿老板”
JAVAXMINER挖矿时使用配置文件CONFIG.JSON指定XMRIG执行时的各项参数，矿工程序落地文件名也不尽相同。下载时的URL特征之一是路径中常带有/DOCS/字符串，并且托管文件的服务器通常为APACHE TOMCAT。
LINUX端执行挖矿程序
WINDOWS端执行挖矿程序
CONFIG.JSON配置文件中，指定矿池为POOL.SUPPORTXMR.COM:80，而PASS统一为“X”。
CONFIG.JSON POOLS配置
CONFIG.JSON配置中的钱包地址并不只有一个，通过从钱包地址中取出几个还在活跃的钱包地址，在SUPPORTXMR中可以查看其算力和挖取的门罗币数据，以此判断JAVAXMINER的挖矿能力。
JAVAXMINER部分钱包挖矿数据
从上图中可以看出这部分钱包地址依然拥有算力，获取的门罗币也不少。而且这些钱包地址只是其中一部分，由此可以推测受到JAVAXMINER入侵并成功开挖的机器也不在少数。
在利益驱动下，以挖矿为目的的恶意入侵活动愈发猖獗，作为相关产品的使用用户来说，主动进行产品更新和补丁修补显的尤为重要，以免自身资产沦为挖矿的工具。360政企安全集团长期从事反挖矿、反欺诈、反黑灰产等领域研究，依托360安全大脑在安全大数据、人工智能分析、攻击溯源等方面的领先安全能力，推出360新一代终端检测响应系统（以下简称“360EDR”）。
基于十余年来积累的SAAS版EDR实践服务经验，360 EDR通过持续追踪终端活动行为、检测安全风险、深度调查威胁风险、提供补救响应手段等方式，补充了传统终端安全产品防御高级威胁能力的不足，能在对抗高级威胁中压缩攻击者的攻击时间，减少高级威胁最终达到目的可能性，获得更快速、高效的防御效果。
360EDR告警信息展示
建议广大政企用户可通过安装部署360EDR，及时发现和处置各类挖矿攻击。
360EDR安全事件展示
想了解更多关于挖矿木马的防治方法，还可访问360政企安全官网或拨打电话400-0309-360咨询。
联系我们
