4

威胁快讯：TeamTNT新变种通过ELF打包bash脚本，正通过Hadoop ResourceManager RCE 传...

 2 years ago
source link: https://blog.netlab.360.com/wei-xie-kuai-xun-teamtntxin-huo-dong-tong-guo-gan-ran-wang-ye-wen-jian-ti-gao-chuan-bo-neng-li/
Go to the source link to view the article. You can view the picture content, updated content and better typesetting reading experience. If the link is broken, please click the button below to view the snapshot at that time.
6 August 2021

威胁快讯：TeamTNT新变种通过ELF打包bash脚本，正通过Hadoop ResourceManager RCE 传播

TeamTNT是一个比较活跃的挖矿家族，曾被腾讯和PAN等国内外安全厂商多次分析[1][2]，我们的BotMon系统也曾多次捕获。以往经验显示，TeamTNT家族喜欢使用新技术，比如名为EzuriCrypter的加密壳就是首次在TeamTNT样本中被检测到。近期，我们的Anglerfish蜜罐再次捕获到TeamTNT的新变种，使用了如下新技术和工具：

  1. 通过ELF文件包装入口bash脚本。
  2. 集成了一个新的Go编写的扫描器。

从功能角度看，新变种和5月份曝光的版本 相比并没有大的变化，只是在个别功能上做了一些有意思的调整。

Exploit

本轮传播使用了已知漏洞 Hadoop_ResourceManager_apps_RCE。

入口脚本分析

跟以往攻击相同，漏洞利用成功后会植入一个名为i.sh的入口脚本，内容如下：

bbbb.png

能看出这段脚本会从RT_URL变量中解码出主模块的URL hxxp://oracle.htxreceive.top/s3f715/i.jpg，然后下载并执行。

ELF打包的主模块分析

主模块为一个ELF文件，代码看上去非常简单：

image-1.png

上述代码只是释放并执行一个名为i-r.sh的脚本文件，所有的功能逻辑其实都在脚本中完成，所以主模块其实只是一个ELF打包的bash脚本。这是我们首次观察到TeamTNT家族使用该技术。

通过分析i-r.sh文件，可以很容易的找到TeamTNT的标志信息，将其和TeamTNT关联起来。

aaaa.png

i-r.sh文件包含如下几个函数：

cccc.png

结合具体代码，i-r.sh的主要功能总结如下：

  • 杀死其它矿机程序，
  • 杀死可疑程序，
  • 锁定（文件不能删除，不能更改，不能移动）了部分系统文件，
  • 恢复了DNS为8.8.8.8和8.8.4.4
  • 锁定了cron相关的文件
  • SecureTheSystem() - 修改ps, top, pstree三个工具，通过过滤关键字串apache2/[httpd]|na/httpd|cmrypto隐藏其它模块和工具。
  • LockDownTheSystem() – 锁定了shutdown, reboot, poweroff, telinit等控制系统重启的工具，禁止系统重启。
  • KILLMININGSERVICES() – 卸载旧矿机。
  • 添加ssh公钥帐号。
  • 卸载阿里云和腾讯云安全防护工具。

对照之前曝光过的脚本代码发现主体功能基本一致，只是在扫描部分有些调整。

主模块用到的矿机程序和扫描器如下所示：

XMRig - 
    (主)hxxp://oracle.htxreceive.top/s3f715/s/avg.tar.gz
    (备)https://github.com/xmrig/xmrig/releases/download/v6.13.0/xmrig-6.13.0-linux-static-x64.tar.gz

masscan – 
    (主)hxxp://oracle.htxreceive.top/s3f715/s/m.tar.gz
    (备)hxxps://github.com/robertdavidgraham/masscan/archive/refs/tags/1.3.0.tar.gz

lisa.scanner - 
    hxxp://oracle.htxreceive.top/s3f715/s/htx-i.${ARCH}

其中，XMRig和masscan之前已经多次见到，但lisa.scanner却是一个首次见到的扫描器，它的开发语言为Go，支持 Postgres、 Reids和 ssh 三种服务的爆破扫描。

image-3.png

扫描器启动后会创建几个.db文件来保存扫描结果。

image-4.png

扫描过程的日志会保存在.log文件中。

image-5.png
7153415b8f26390677b2285fdcfcd5ca
60b55e7087d0316d7c886db30cdf0a02
65e0144f02992578feaec652f18a5d4b
b023e29f8e1a4902d463820009aabc9d
9f719395ca35d4dd2fb0dd7cd508b51b
dfdf7e8fb465765e5dd372c4e0b2aad7
4616e44f236263a0c085b14a5009a7e6
7153415b8f26390677b2285fdcfcd5ca
60b55e7087d0316d7c886db30cdf0a02
65e0144f02992578feaec652f18a5d4b
b023e29f8e1a4902d463820009aabc9d
9f719395ca35d4dd2fb0dd7cd508b51b
dfdf7e8fb465765e5dd372c4e0b2aad7
4616e44f236263a0c085b14a5009a7e6

http://oracle.htxreceive.top/s3f715/i.jpg   
http://oracle.htxreceive.top/s3f715/s/avg.tar.gz    
http://oracle.htxreceive.top/s3f715/i.sh    
http://oracle.htxreceive.top/s3f715/s/htx-i.x86_64  
http://oracle.htxreceive.top/s3f715/s/htx-i.i386    
http://oracle.htxreceive.top/s3f715/s/htx-i.i686    
http://oracle.htxreceive.top/s3f715/s/m.tar.gz
jinye

jinye

Read more posts by this author.


report

Recommend

About Joyk


Aggregate valuable and interesting links.
Joyk means Joy of geeK