299期报告汇总
安天发布《z0Miner 挖矿木马变种分析报告》
 

        近日,安天 CERT 在梳理网络安全事件时发现一个名为 z0Miner 的挖矿木马变种。z0Miner 首次出现时间是在 2020 年,攻击者利用多个远程代码执行漏洞传播该木马。安天CERT 近期监测到该木马变种利用 Confluence产品漏洞进行传播。

        2021 年 8 月,Atlassian 官方发布公告,披露了一个旗下 Confluence 产品的远程代码执行漏洞(CVE-2021-26084), Confluence 是该公司出品 wiki 程序,是目前市场上非常流行的企业wiki 应用。攻击者经过认证后或在部分场景下无需认证,即可远程执行任意代码。z0Miner木马近期通过该漏洞进行传播。

        攻击者利用漏洞成功后,执行挖矿木马z0Miner。z0Miner 部署 web shell 下载多个文件,包 括 sys.ps1、vmicguestvs.dll 和 ok.bat。sys.ps1的功能有两个,第一个功能是创建计划任务并将它伪装成 .NET Framework NGEN 任务,该任务每隔五分钟从 Pastebin 下载并执行脚本(因链接失效无法获取脚本)。sys.ps1 的第二个功能是下载 clean.bat,clean.bat 的功能是查找并删除其他挖矿木马。z0Miner 将 vmicguestvs.dll 伪 装 为 合 法 的 集 成 服 务(Hyper-V Guest Integration)以规避防御机制。ok.bat 的功能是下载挖矿程序。

        安天 CERT 提醒广大政企客户,应提高网络安全意识,在日常工作中及时进行系统更新和漏洞修复,不随意下载非正版的应用软件,注册机等。收发邮件时应确认收发来源是否可靠,不随意点击或者复制邮件中的网址,不轻易下载来源不明的附件,发现网络异常要提高警惕并及时采取应对措施,养成及时更新操作系统和软件应用的良好习惯。确保所有的计算机在使用远程桌面服务时避免使用弱密码,如果业务上无需使用远程桌面服务,建议将其关闭。目前,安天追影产品已经实现了对该类挖矿木马的鉴定;安天智甲已经实现了对该挖矿木马的查杀。