背景近日，阿里云安全监测到watchbog挖矿木马使用新曝光的Nexus Repository Manager 3远程代码执行漏洞(CVE-2019-7238)进行攻击并挖矿的事件。
值得注意的是，这一攻击开始的时间（2月24日），与2月5日上述产品的母公司发布漏洞公告，相隔仅仅半个多月，再次印证了“漏洞从曝光到被黑产用于挖矿的时间越来越短”。此外，攻击者还利用了Supervisord, ThinkPHP等产品的漏洞进行攻击。本文分析了该木马的内部结构和传播方式，并就如何清理、预防类似挖矿木马给出了安全建议。挖矿木马传播分析攻击者主要通过直接攻击主机服务的漏洞，来进行木马的传播，也就是说它目前不具备蠕虫的传染性，这一点上类似8220团伙。即便如此，攻击者仍然获取了大量的肉鸡。尤其2月24日，攻击者从原本只攻击ThinkPHP和Supervisord，到加入了Nexus Repository Manager 3的攻击代码，可以看到其矿池算力当天即飙升约3倍，达到了210KH/s左右（盈利约25美元/天），意味着最高时可能有1~2万台主机受控进行挖矿。