危险漫步博客
新鲜的“黑客思维”就是从全新的角度看待黑客技术,从更高的层面去思考;专注于黑客精神及技术交流分享的独立博客。
文章2311 浏览22621571

恶意代码肆虐导致国际市场比特币价格腰斩

想必大家近期都有看到一则报道,比特币价格腰斩,蒸发1万亿。


虽然比特比价格低迷,但是还是有很多人利用各种完全不同的方法在进行着各种挖矿行为,而这其中就可能有你的手机,这并不是危言耸听。


接下来危险漫步就给大家说一说最近我看到的一篇新闻《安卓平台挖矿蠕虫ADB.Miner勃然而兴,中韩两国成为重灾区》


自2018年2月3日 15.00开始,一段恶意代码开始了蠕虫式传播,危险漫步也以最快的方式开始分析这段恶意代码带来的安全威胁。


经过这几天的分析我得到了以下的结论:


感染端口为:5555,是安卓设备上 adb 调试接口的工作端口,这个端口在正常情况下应该被关闭,但是挖矿这个巨大的利益链条的驱动下,大量的安卓设备因为“未知原因”导致部分设备错误的打开了这个端口。


蠕虫式感染:恶意代码在完成植入后,会继续扫描 5555 adb 端口,完成自身的传播


感染设备型号:目前能够确认的设备型号见后,大部分是智能手机,以及智能电视机顶盒


感染设备数量:2.75 ~ 5k,主要分布在中国(~40%)和韩国(~30%)


另外危险漫步还发现,恶意代码复用了 mirai在扫描阶段的代码,这是我第一次看到 mirai 代码被安卓蠕虫复用,不得不说在技术革新上又是光辉的一笔,如果这个不是运用在恶意代码上的话会好很多。


同时由于android 系统 adb 调试接口的恶意代码目前正在蠕虫式积极传播,所以至今已经感染了多少台设备,这个目前危险漫步还不得而知。


从2月3日开始,我就发现5555端口的扫描流量在急速增加



从上图各位就能够看得出来流量增长的速度,几乎就是呈几何式增长


目前5555的端口流量已经排在所有端口流量的前十了,这是一个全新的端口。上次发生这个情况是mirai僵尸网络开始扩散。



5555 端口上扫描来源的独立IP地址,按照不同口径统计,有2.75 ~5.5k,这个数字正在快速增长中,两个来源的情况见后:


来自 scanmon的统计数字: 2.75k,主要来自中国(40%)和韩国(31%)。


来自我们的僵尸网络跟踪系统的统计数字: 5.5k



受感染设备主要是各厂商开放了 adb 调试接口的安卓设备


受感染设备正在积极的尝试投递恶意代码。我们从这些恶意代码中分析发现,大部分来源设备基于 android 操作系统。


具体被感染设备机型暂时不予公开,目前看,因为各主要厂商均涉及,并且同时涉及智能手机和智能电视(电视机顶盒?),我们倾向排除厂商级别漏洞的可能性。


恶意代码在利用这些设备挖矿


相关的恶意代码有一组,其中xmrig 相关恶意样本会参与挖取 XMR 代币。相关的配置有两组,基于两个不同矿池,但是共享了同一个钱包地址:


矿池地址:pool.monero.hashvault.pro:5555或者 pool.minexmr.com:7777


钱包地址(矿池账号):44XT4KvmobTQfeWa6PCQF5RDosr2MLWm43AsaE3o5iNRXXTfDbYk2VPHTVedTQHZyfXNzMn8YYF2466d3FSDT7gJS8gdHAr


矿池密码:x

目前为止,上述钱包还没有收到矿池的第一笔付款:



就上述情况来看,危险漫步可以断定,这款恶意代码正在以蠕虫式的传播速度在进行着传播。


目前分析和防御策略还在紧锣密鼓的进行中。这段时间各大厂商估计也没有心思回味年味了,肯定都是在紧锣密鼓的忙活着如何解决这个恶意代码,不再让他持续扩散吧~~


最终谁能拔得头筹就让我们拭目以待吧~~