一次SSH爆破攻击haiduc工具的应急响应

作者: 黑客网 分类: 正规黑客联系方式 发布时间: 2022-05-26 14:26

2022年3月底,我安服团队在网络安全监测中发现某网络攻击组织利用SSH爆破投放挖矿程序的活动比较活跃,主要涉及的是一个haiduc的工具。

二、检测定位阶段工作说明

2.1、异常现象确认

服务器被植入木马病毒,并对内网进行暴力破解。本次发起暴力破解的主机为10.101.2.210。

2.2、溯源分析过程 

通过态势感知查看暴力破解检测日志,发现最早从2月16日凌晨3点半左右出现暴力破解告警情况,攻击源为10.101.2.210服务器。

三、抑制阶段工作说明

临时配置防火墙禁止101.2.210访问其他区域服务器22端口;

修改服务器10.101.2.210弱密码为强口令;

四、根除阶段工作说明

1.进程分析:ps -ef 查看运行进程,发现大量sshd命令

1647963295_6239ec9fa97813f88b84f.png!small?1647963296164

2.通过异常进程PID查看恶意程序,发现指向usr/share/man/.md/haiduc这个文件

1647963343_6239eccf6fae4810d8227.png!small?1647963343512

3.进入到指定文件夹目录下

1647963374_6239ecee7837b817faa79.png!small?1647963374909

4.拷贝下来进行病毒分析

1647963494_6239ed668875b46d66c2f.png!small?1647963494666

上传微步沙箱分析

1647963514_6239ed7aa237a2a0ddee5.png!small?1647963514745

5.进行目录文件解剖(存在爆破IP和账号密码信息)

1647963536_6239ed9089deceb4f4deb.png!small?1647963536590

1647963541_6239ed95c8bcf1e536cd8.png!small?1647963541986

6.登录安全:ssh免密登录排查

1647963561_6239eda942808a5af57d8.png!small?1647963561271

未发现配置有可疑的ssh免密登录keys

7.服务器最近登录日志分析

1647963585_6239edc1e1b78cef563e1.png!small?1647963586058

其中:10.100.2.40、10.100.2.80、10.17.250.179为工程师IP。

最早登录时间:2月16日 03:34 ,登录IP: 10.100.2.211

8.查看最近爆破登录日志

1647963633_6239edf1ea6aa90852a8c.png!small?1647963634281

1647963639_6239edf792948331c6a5e.png!small?1647963639920

该机器发现有被ip10.101.31.4进行ssh爆破的记录,最早时间3月12日,未发现其他爆破情况;

9.账号异常排查

如果觉得我的文章对您有用,请随意打赏。您的支持将鼓励我继续创作!

标签云