记一次双平台Sysrv-hello挖矿团伙非法攻击溯源反制过程
内容提要
某客户发现攻击者利用CVE-2017-5638漏洞进行攻击，经过分析确认攻击失败。攻击源IP来自印度，反制后发现其搭建了Jboss服务并存在反序列化漏洞，成功获取服务器root权限。进一步调查发现与挖矿相关的恶意文件和进程，确认该主机被挖矿团伙控制，严重影响正常业务。
关键要点
-
某客户发现攻击者利用CVE-2017-5638漏洞进行攻击，攻击结果失败。
-
攻击源IP来自印度安得拉，反制后发现其搭建了Jboss服务并存在反序列化漏洞。
-
成功利用Jboss反序列化漏洞反弹shell，获得服务器root权限。
-
调查发现与挖矿相关的恶意文件和进程，确认主机被挖矿团伙控制。
-
受控主机的CPU资源几乎完全被挖矿进程占据，严重影响正常业务运转。
-
查询到多个恶意IP和文件，确认其为挖矿相关的恶意程序。
-
提供了木马和挖矿程序的MD5值以供后续检测和防范。
延伸解读
攻击手法分析
攻击者利用CVE-2017-5638漏洞进行攻击，显示出对系统漏洞的深刻理解。此类漏洞的存在提醒企业需定期进行安全审计和漏洞扫描，以防止类似攻击的发生。
挖矿团伙的影响
被挖矿团伙控制的主机，CPU资源几乎被挖矿进程占据，严重影响正常业务运转。这表明企业在网络安全方面的投入不足，可能导致业务中断和经济损失。
反制措施的重要性
通过对攻击源IP的反制，成功识别出多个恶意文件和进程，强调了及时响应和反制措施在网络安全中的重要性。企业应建立完善的监测和响应机制，以快速应对潜在威胁。
延伸问答
攻击者是如何利用CVE-2017-5638漏洞进行攻击的？
攻击者利用CVE-2017-5638漏洞发起远程命令执行攻击，但攻击结果失败。
反制过程中发现了哪些关键漏洞？
反制过程中发现了Jboss服务的反序列化漏洞，成功获得了服务器的root权限。
受控主机的CPU资源为何受到严重影响？
受控主机的CPU资源几乎完全被挖矿进程占据，导致正常业务运转受到严重影响。
调查中发现了哪些与挖矿相关的恶意文件？
调查发现了与挖矿相关的恶意文件b.pl和进程sys.x86_64，以及挖矿程序kthreaddi。
如何确认受控主机被挖矿团伙控制？
通过查询历史操作记录和监测到的挖矿进程，确认受控主机被挖矿团伙控制。
提供的木马和挖矿程序的MD5值是什么？
木马和挖矿程序的MD5值分别为：ldr.sh - 0fdff38895238f2259db6d186aee5a7e，sys.x86_64 - 64F7F910849BC479EC72A5E2167C8D78。
