vlambda博客
学习文章列表

April 24, 2020

H2Miner利用SaltStack漏洞获利超370万人民币，门罗币仍为最受黑客喜爱目标

每日简评

日前，腾讯安全威胁情报中心检测到H2Miner木马利用SaltStack远程命令执行漏洞入侵企业主机进行挖矿。情报中心数据显示，自5月3日起，H2Miner木马利用SaltStack远程命令执行漏洞（CVE-2020-11651、CVE-2020-11652）入侵企业主机进行挖矿，目前呈现快速增长趋势。据悉，目前H2Miner 黑产团伙通过控制服务器进行门罗币挖矿已非法获利超 370 万元人民币。

H2Miner是一个linux下的挖矿僵尸网络，主要通过hadoop yarn未授权、docker未授权、confluence RCE、thinkphp 5 RCE、Redis未授权等多种手段进行入侵，下载恶意脚本和恶意程序进行挖矿谋利，横向扫描扩大攻击面并维持C&C通信。H2Miner挖矿木马在运行时会尝试卸载服务器的安全软件，清除服务器安装的其他挖矿木马以达到独占服务器资源的目的。本次攻击也是通过对所有木马的核心脚本和可执行文件进行比对分析，从而确认了此次攻击是挖矿木马家族H2Miner发起的。

这已经不是门罗币第一次因为漏洞遭受大量损失了，早在2017年就有过类似案例，且直到日前，此类事件都层出不穷。2017年就有XMRig Menero利用Oracle服务器远程执行漏洞进行门罗币挖矿，2018年也是漏洞挖矿的高发时段。2018年全年挖矿木马样本月产生量都在百万级别以上，主要利用游戏高配机、游戏外挂、网页广告等来进行传播挖矿，以典型事件为例，2018年挖矿木马典型攻击事件约为17件，其中与门罗币相关的攻击事件就有15件，占比超过88%。2019年更是挖矿病毒盛行的一年，《亚信安全2019威胁态势分析》报告数据显示，与2017年相比，挖矿病毒在2019年的数量暴涨了1500%，很大程度上也与加密数字货币的市值在两年内增长了20多倍有关，而且相比比特币，门罗币的挖矿成本较小，利用算力较小的消费级硬件就可以开采，且具备更好的隐藏机制，因此成为挖矿病毒制作者首选。考虑到病毒挖矿现象一直在增加，用户可能会遭遇更多恶意软件变种的威胁，建议主动监测网络流量以帮助识别恶意软件，特别是企业用户需要构建覆盖事前、事中、事后的安全防御体系。不过就目前来看，此类事件并未对门罗币的市值造成直接影响。

市场分析

市场走到这一步可以说已经到了一个比较鸡肋的位置上了：BTC不想跌，主流币又跟不动了，从3.12算起走到现在加密市场已经有了足够亮眼的表现，本次减半事件结束以后也是时候该歇一歇了。

BTC无疑是最近市场中的主角，今日仍然拒绝下跌，后面几天虽然还有一定上涨的空间，但没有必要在这个位置上开入合约多单，现货保持持有即可。ETH大概率将则是跟随BTC的动能在197-210之间震荡，其中下跌的无论是风险还是幅度均会比BTC来得更大一点，近几日可以空仓观望为主，不做多余的操作。