如何解析基于Linux和Window双平台新型挖矿病毒

这期内容当中小编将会给大家带来有关如何解析基于Linux和Window双平台新型挖矿病毒，文章内容丰富且以专业的角度为大家分析和叙述，阅读完这篇文章希望大家可以有所收获。这是一款近期非常流行的挖矿病毒，基于Linux和Windows双平台，主体程序都是使用GO语言进行编写的，并通过多个漏洞进行传播，估计国内已经有不少服务器被感染,笔者最近一段时间发现它更新了，并捕获到它的最新的脚本,通过分析，下载服务器URL地址为：https://us.gsearch.com.de/api/sysupdatehttp://209.182.218.161:80/363A3EDC10A2930D/sysupdatehttps://us.gsearch.com.de/api/update.shhttp://209.182.218.161:80/363A3EDC10A2930D/update.shhttps://us.gsearch.com.de/api/config.jsonhttp://209.182.218.161:80/363A3EDC10A2930D/config.jsonhttps://us.gsearch.com.de/api/networkservicehttp://209.182.218.161:80/363A3EDC10A2930D/networkservicehttps://us.gsearch.com.de/api/sysguardhttp://209.182.218.161:80/363A3EDC10A2930D/sysguard相应的配置文件挖矿地址和钱包地址，如下所示：cryptonightr.usa.nicehash.com:33751NYTak57oEYJwzTrG9wwAtM9Q44DwMBFLq.usacryptonightr.eu.nicehash.com:33751NYTak57oEYJwzTrG9wwAtM9Q44DwMBFLq.eucryptonightr.jp.nicehash.com:33751NYTak57oEYJwzTrG9wwAtM9Q44DwMBFLq.jpcryptonightr.hk.nicehash.com:33751NYTak57oEYJwzTrG9wwAtM9Q44DwMBFLq.hkcryptonightr.br.nicehash.com:33751NYTak57oEYJwzTrG9wwAtM9Q44DwMBFLq.brcryptonightr.in.nicehash.com:33751NYTak57oEYJwzTrG9wwAtM9Q44DwMBFLq.inxmr.f2pool.com:1353143zqYTWj1JG1H1idZFQWwJZLTos3hbJ5iR3tJpEtwEi43UBbzPeaQxCRysdjYTtdc8aHao7csiWa5BTP9PfNYzyfSbbrwoR.nice脚本的功能主要是结束其它挖矿程序，然后从服务器上下载三个主要的程序:sysupdate、networkservice、sysguard，分别对这三个Linux下64位主程序进行详细分析，sysupdate是门罗币挖矿程序，如下所示：版本号为：2.15.1-beta，如下所示：
加载config.json配置程序矿池和钱包地址等，如下所示：
开始挖矿，如下所示：
config.json配置文件信息，如下所示：

矿池地址：xmr.f2pool.com:13531钱包地址：84wSxADJuSCEPGu7FyRPa2UAgs2YkTad1izUTLWJNmyvNFLU9PpTnwYUCn66cSK5v6cfRAvDdxMzpPdirw6njjt5AcRwReU.xmrxmr2019运行截图如下所示：捕获到了网络流量包，如下所示：

networkservice漏洞扫描传播程序，如下所示：1.初始化扫描IP地址段，如下所示：从远程服务器下载相应的IP段数据，服务器地址：https://23.175.0.142/api/download/I9RRye，下载回来的IP地址段是数字整型，文件名为ips_cn.txt，如下所示：

数字转化为IP地址，如下所示：16909568 16909823–> 1.2.5.0 1.2.5.255737878016 737879039–> 43.251.32.0 43.251.35.2551733261312 1733262335 –> 103.79.120.0 103.79.123.2552525131776 2525132799–> 150.130.116.0 150.130.119.2553670879488 3670879999–> 218.205.45.0 218.205.46.2552.从内存中解密出相应的PowerShell脚本，如下所示：解密出来的PowerShell脚本地址http://43.245.222.57:8667/6HqJB0SPQqbFbHJD/init.ps1，如下所示：
可以在windows执行相应的传播、挖矿程序，如下所示：
3.创建计划任务，进行更新操作，如下所示：
4.更新执行挖矿程序，如下所示：
5.执行扫描、传播程序，如下免费云主机域名所示：
6.同时还可以下载自清除脚本进行自清除操作，如下所示：
7.执行各种扫描主机操作，如下所示：
8.redis未授权访问漏洞扫描，如下所示：
9.Drupal框架CVE-2018-7600漏洞扫描，如下所示：
10.Hadoop未授权漏洞扫描，如下所示：
11.Spring框架CVE-2018-1273漏洞扫描，如下所示：
12.thinkphp框架TP5高危漏洞扫描，如下所示：
13.WebLogic框架CVE-2017-10271漏洞扫描，如下所示：
14.SQLServer框架xcmd_shell、SP_OACreate注入提权漏洞扫描，如下所示：
15.Elasticsearch框架CVE-2015-1427、CVE-2014-3120远程代码执行漏洞扫描，如下所示：

sysguard根据操作系统的版本下载执行不同的payload代码，如下所示：1.内存解密出PowerShell脚本，如下所示：然后拼接PowerShell脚本，如下所示：
2.将上面的PowerShell脚本进行Base64编码，如下所示：
判断是否为windows平台，如果为windows平台执行上面的PowerShell脚本，如下所示：
调用执行PowerShell脚本，如下所示：
3.如果为Linux平台，获取主机root权限:
4.然后通过判断不同的操作系统版本，与远程服务器CC通信执行下载Payload、扫描、持久化驻留主机、更新等操作，如下所示：
5.判断不同的操作系统，执行不同的扫描程序，如下所示：
在windows操作系统下，启动扫描程序networkservice，如下所示：
并把相应的payload命令写入到%temp%目录下的随机文件名的BAT脚本中，如下所示：
启动扫描程序，如下所示：
捕获到相应的流量包，如下所示：
6.不同的操作系统执行不同的持久化操作，如下所示：
在windows操作系统下，创建相应的计划任务，如下所示：
创建的计划任务，如下所示：
在Linux操作系统下，创建相应的crontab自启动，如下所示：
7.检测各个文件，进行更新操作，如下所示：
执行更新Payload，调用任务计划中的PowerShell脚本执行更新，如下所示：
8.与远程服务器进行通信，如下所示：

获取的CC服务器URL，如下所示：http:///6HqJB0SPQqbFbHJD/pi?module=account&action=txlist&address=0xb017eFb3339FfE0EB3dBF799Db6cb065376fFEda&startblock=0&endblock=99999999&sort=asc&apikey=ADQAMwAuADIANAA1AC4AMgAyADIALgA1ADcAOgA4ADYANgA3AC8ANgBIAHEASgBCADAAUwBQAFEAcQBiAEYAYgBIAEoARAAvAGkAbgBpAHQALgBwAHMAMQAnACkA执行下载payload对应的PowerShell脚本，并写入到%temp%目录下，相应的PowerShell脚本，如下所示：执行完Payload，如下所示：

上述就是小编为大家分享的如何解析基于Linux和Window双平台新型挖矿病毒了，如果刚好有类似的疑惑，不妨参照上述分析进行理解。如果想知道更多相关知识，欢迎关注云编程开发博客行业资讯频道。

相关推荐: 安装的linux不是全屏怎么解决

这篇文章主要介绍了安装的linux不是全屏怎么解决的相关知识，内容详细易懂，操作简单快捷，具有一定借鉴价值，相信大家阅读完这篇安装的linux不是全屏怎么解决文章都会有所收获，下面我们一起来看看吧。 安装的linux不是全屏的解决方法：1、点击系统左侧菜单栏的…