近日，阿裡雲安全團隊釋出了《2018年雲上挖礦分析報告》。該報告以阿裡雲2018年的攻防資料為基礎，對惡意挖礦态勢進行了分析，并為個人和企業提出了合理的安全防護建議。
報告指出，盡管加密貨币的價格在2018年經曆了暴跌，但挖礦仍是網絡黑産團夥在入侵伺服器之後最直接的變現手段，越來越多的0-Day/N-Day漏洞在公布後的極短時間内就被用于入侵挖礦，黑産團夥利用漏洞發起攻擊進行挖礦的趨勢仍将持續。
以下是報告部分内容，下載下傳報告完整版：
https://yq.aliyun.com/download/3312攻擊态勢分析
【熱點0-Day/N-Day漏洞利用成為挖礦團夥的"武器庫",0-Day漏洞留給使用者進行修複的視窗期變短】
2018年，多個應用廣泛的web應用爆出高危漏洞，對網際網路安全造成嚴重威脅。事後安全社群對漏洞資訊的分析和漏洞細節的分享，讓利用代碼能夠友善的從網際網路上擷取。挖礦團夥自然不會放過這些唾手可得的“武器庫”。此外一些持續未得到普遍修複的N-Day漏洞往往也會被挖礦團夥利用。本報告梳理了部分熱點0-Day/N-Day漏洞被挖礦團夥大量利用的事件。
同時阿裡雲觀察到，0-Day漏洞從披露到大規模利用之間的時間間隔越來越小。是以在高危0-Day漏洞爆出後未能及時修複的使用者，容易成為惡意挖礦的受害者。
【非Web網絡應用暴露在公網後成為挖礦團夥利用的重災區】
企業對Web應用可能造成的安全威脅已經有足夠的重視，WAF、RASP、漏洞掃描等安全産品也提升了Web應用的安全水位。而非Web網絡應用(Redis、Hadoop、SQLServer等)往往并非企業核心應用，企業在安全加強和漏洞修複上投入并不如Web應用，往往導緻高危漏洞持續得不到修複，因而挖礦團夥也會針對性利用網際網路上這些持續存在的弱點應用。本報告梳理了2018年非Web網絡應用漏洞被挖礦團夥利用的時間線。
【挖礦團夥廣泛利用暴力破解進行傳播，弱密碼仍然是網際網路面臨的主要威脅】
下圖為不同應用被入侵導緻挖礦所占百分比，可以發現SSH/RDP/SQLServer是挖礦利用的重點應用，而這些應用通常是因為弱密碼被暴力破解導緻被入侵感染挖礦病毒。由此可以看出弱密碼導緻的身份認證問題仍然是網際網路面臨的重要威脅。
惡意行為
【挖礦後門普遍通過蠕蟲形式傳播】
大多數的挖礦團夥在感染受害主機植入挖礦木馬後，會控制這些受害主機對本地網絡及網際網路的其他主機進行掃描和攻擊，進而擴大感染量。這些挖礦木馬傳播速度較快，且很難在網際網路上根除，因為一旦少量主機受到惡意程式感染，它會受控開始攻擊其他主機，導緻其它帶有漏洞或存在配置問題的主機也很快淪陷。
少量挖礦團夥會直接控制部分主機進行網絡攻擊，入侵受害主機後隻在主機植入挖礦後門，并不會進一步擴散。最有代表性的就是8220挖礦團夥。這類團夥一般漏洞利用手段比較豐富，漏洞更新速度較快。
【挖礦團夥會在受害主機上通過持久化駐留擷取最大收益】
大多數的挖礦團夥，都會嘗試在受害主機上持久化駐留以擷取最大收益。
通常在Linux系統中，挖礦團夥通過crontab設定周期性被執行的指令。在Windows系統中，挖礦團夥通常使用schtask和WMI來達到持久化的目的。
如下為Bulehero木馬執行添加周期任務的schtask指令:
cmd /c schtasks /create /sc minute /mo 1 /tn "Miscfost" /ru system /tr "cmd /c C:\Windows\ime\scvsots.exe"
cmd /c schtasks /create /sc minute /mo 1 /tn "Netframework" /ru system /tr "cmd /c echo Y|cacls C:\Windows\scvsots.exe /p everyone:F" 【挖礦團夥會通過僞裝程序、加殼、代碼混淆、私搭礦池或代理等手段規避安全分析和溯源】
Bulehero挖礦網絡使用的病毒下載下傳器程序名為scvsots.exe，與windows正常程式的名字svchost.exe極其相似；其它僵屍網絡使用的惡意程式名，像taskhsot.exe、taskmgr.exe、java這類形似正常程式的名稱也是屢見不鮮。
在分析挖礦僵屍網絡的過程中我們發現，大多數後門二進制程式都被加殼，最經常被使用的是Windows下的UPX、VMP、sfxrar等，如下圖，幾乎每個RDPMiner使用的惡意程式都加了上述三種殼之一。
此外，挖礦團夥使用的惡意腳本往往也經過各種混淆。如下圖，JBossMiner挖礦僵屍網絡在其vbs惡意腳本中進行混淆加密。
盡管人工分析時可以通過多種手段去混淆或解密，但加密和混淆對逃避防毒軟體而言，仍是非常有效的手段。
惡意挖礦團夥使用自己的錢包位址連接配接公開礦池，可能因為礦池收到投訴導緻錢包位址被封禁。挖礦團夥傾向于更多的使用礦池代理或私搭礦池的方式進行挖礦。進而安全研究人員也難以通過礦池公布的HashRate和付款曆史估算出被入侵主機的數量和規模。
主流團夥概述
1.DDG挖礦團夥
從2017年底首次被曝光至今，DDG挖礦僵屍網絡一直保持着極高的活躍度。其主要惡意程式由go語言寫成，客觀上對安全人員研究分析造成了一定阻礙。而頻繁的程式配置改動、技術手段更新，使它堪稱2018年危害最大的挖礦僵屍網絡。
DDG（3019）各子產品結構功能
2.8220挖礦團夥
在諸多挖礦僵屍網絡中，8220團夥的挖礦木馬獨樹一幟，因為它并未采用蠕蟲型傳播，而是直接對漏洞進行利用。
這種方式理論上傳播速度較慢，相較于蠕蟲型傳播的僵屍網絡也更難存活，但8220挖礦團夥仍以這種方式擷取了較大的感染量。
挖礦網絡結構
3.Mykings(theHidden)挖礦團夥
Mykings（又名theHidden“隐匿者”）挖礦網絡在2017年中就被多家友商提及并報道。它從2014年開始出現，時至今日該僵屍網絡依然活躍，可以說是擁有非常旺盛的生命力。該僵屍網絡極為複雜，內建了Mirai、Masscan等惡意程式的功能，此外在payload、BypassUAC部分都使用極其複雜的加密混淆技術，掩蓋攻擊意圖，逃避安全軟體的檢測和安全研究人員的分析。該挖礦僵屍網絡在11月底更是被發現與“暗雲”聯手，危害性再次增強。
4.Bulehero挖礦團夥
5.RDPMiner挖礦團夥
該挖礦僵屍網絡自2018年10月開始蔓延，之後多次更換挖礦程式名稱。
6.JbossMiner挖礦團夥
阿裡雲安全團隊于2018年3月報道過，從蜜罐中捕獲到JbossMiner的惡意程式樣本，該樣本由py2exe打包，解包反編譯後是一套由Python編寫的完整攻擊程式，包含源碼及依賴類庫等數十個檔案。且對于Windows和Linux系統的受害主機，有不同的利用程式。
7.WannaMine
WannaMine是一個蠕蟲型僵屍網絡。這個挖礦團夥的政策曾被CrowdStrike形容為“靠山吃山靠水吃水”(living off the land)，因為惡意程式在被感染的主機上，首先會嘗試通過Mimikatz收集的密碼登入其他主機，失敗之後再利用“永恒之藍”漏洞攻擊其他主機，進行繁殖傳播。
8.Kworkerd
這是一個主要攻擊Redis資料庫未授權通路漏洞的挖礦僵屍網絡，因其将挖礦程式的名字僞裝成Linux正常程序Kworkerd故得名。
該木馬隻利用一種漏洞卻仍有不少感染量，說明資料庫安全配置亟待得到使用者的重視。
9.DockerKiller
随着微服務的熱度不斷上升，越來越多的企業選擇容器來部署自己的應用。而Docker作為實作微服務首選容器，在大規模部署的同時其安全性卻沒有引起足夠的重視。2018年8月，Docker配置不當導緻的未授權通路漏洞遭到挖礦團夥的批量利用。
安全建議
如今盡管币價低迷，但由于經濟形勢承受下行的壓力，可能為潛在的犯罪活動提供誘因。阿裡雲預計，2019年挖礦活動數量仍将處于較高的水位；且随着挖礦和漏洞利用相關知識的普及，惡意挖礦的入場玩家可能趨于穩定且伴有少量增加。
基于這種狀況，阿裡雲安全團隊為企業和個人提供如下安全建議：
- 安全系統中最薄弱的一環在于人，最大的安全問題也往往出于人的惰性，是以弱密碼、爆破的問題占了挖礦原因的半壁江山。無論是企業還是個人，安全意識教育必不可少；
- 0-Day漏洞修複的視窗期越來越短，企業需要提升漏洞應急響應的效率，一方面是積極進行應用系統更新，另一方面是關注産品的安全公告并及時更新，同時也可以選擇購買安全托管服務提升自己的安全水位；
- 伴随着雲上彈性的計算資源帶來的便利，一些非Web類的網絡應用暴露的風險也同步上升，安全運維人員應該重點關注非Web類的應用伴随的安全風險，或者選擇購買帶IPS功能的防火牆産品，第一時間給0-Day漏洞提供防護。
報告主筆：悟泛；其他内容貢獻者：桑铎、堇雲、穆如、樂枕、燚龘、劉洪亮、南浔