• 爆出的SaltStack漏洞包含远程代码执行和目录遍历漏洞，危害程度为高，建议使用SaltStack产品的企业立即更新产品进行漏洞修复。
• 据漏洞发现厂商的侦测统计，全网约有6000+使用SaltStack的服务器暴露在互联网，目前已发现国内多家企业受到漏洞影响，建议使用SaltStack产品的企业引起足够重视。
• 此外，微步在线监测发现Kinsing挖矿僵尸网络新增对最新SaltStack漏洞的利用，相关使用SaltStack产品的企业应引起足够重视，具体可参考“行动建议”立即进行检测，我们提供了多种排查手段。
• Kinsing是一个挖矿僵尸网络，此前主要利用Redis空口令进行攻击，利用Redis主从备份功能植入恶意Redis插件red2.so，然后下载挖矿远控木马kinsing进行执行，执行成功后会利用系统内部sshkey将木马传播到整个内网。
• 此次事件相关情报已自动下发，可用于威胁情报检测。微步在线威胁检测平台（TDP）、威胁情报管理平台（TIP）、威胁情报云API均已支持对Kinsing相关攻击的检测。如需协助，请与我们联系：[email protected]。

1. 升级Salt到v3000.2或v2019.2.4及以上版本，建议升级前做好备份，下载地址参考：https://repo.saltstack.com；
2. 禁止Salt Master默认监听端口（默认4505和4506），限定IP访问。

1. 将Redis空口令改为强口令，修复Salt最新漏洞；
2. 根据业务情况限制为仅对内网访问；
3. 使用防火墙拦截攻击者IP；
4. 杀掉木马进程，删除如下木马相关文件：

/tmp/salt-store

/tmp/salt-minions

/tmp/.ICEd-unix/

• 该木马是基于Golang的Linux代理，具备释放挖矿程序salt-minions、确认挖矿程序是否正常运行、对外扫描扩散、下载文件并执行等功能。微步云沙箱分析如下：
  

• 连接193.33.87.231的80端口，发送矿池登录信息，其中钱包地址为45ofkzYJme2LXySUtHDwmMM18zcw32HapC46SiWiM1mZh8BXDteQ5cqANkEWA1Zoe4F5SRrNEFqg3cpJMH1bhzVP5tDrMrL ，密码为pass ，以及agent等一系列参数。
  
  

• 访问如下URL下载脚本，虽目前已无响应，无法获取相关文件，但根据该僵尸网络之前的策略，会下载恶意脚本进行内网横向传播。

附录 – IOC

Malware URL

矿池 IP

SHA256

Malware File Path

参考链接