日前，腾讯遇见威胁情报中心报告了一起H2Miner黑产团伙利用SaltStack漏洞控制服务器挖矿的入侵案例。
据悉，腾讯安全威胁情报中心于2020年5月3日检测到H2Miner木马利用SaltStack远程命令执行漏洞入侵企业主机进行挖矿。通过对木马核心脚本和可执行文件的对比分析，确认本次攻击属于挖矿木马家族H2Miner。
据了解，H2Miner是linux下的一个挖矿僵尸网络，通过未经授权的hadoop yarn、docker、confluence RCE、thinkphp 5 RCE、Redis等手段入侵，下载恶意脚本和恶意程序进行挖矿牟利，横向扫描扩大攻击面，维持CC通信。
据腾讯安全威胁情报中心大数据统计，H2Miner利用SaltStack漏洞的攻击始于5月3日，目前呈现快速增长趋势。H2Miner挖矿木马会尝试卸载服务器的安全软件，清除服务器上安装的其他挖矿木马，以独占服务器资源。目前，H2Miner黑产团伙已通过控制服务器开采门罗币非法获利370余万元。
Saltstack是一套基于python开发的C/S自动化运维工具。近日，SaltStack被曝存在认证旁路漏洞和目录遍历漏洞，其中:
CVE-2020-11651:为了绕过漏洞进行认证，攻击者可以构造一个恶意请求，绕过Salt Master的验证逻辑，调用相关的未授权函数，达到远程执行命令的目的。
CVE-2020-11652:对于目录遍历漏洞，攻击者可以构造恶意请求，读取服务器上的任意文件，并获取系统的敏感信息。
科技很快了解到，入侵导致很多CDN平台服务商倒闭，进而影响了很多网站的访问。
腾讯安全专家建议企业采取以下措施加强服务器安全，检查并清除服务器是否被入侵并安装H2Miner挖矿木马:
1.将Salt Master的默认监控端口设置为禁止对公网开放，或者只对可信对象开放。将SaltStack升级到安全版本或更高版本。升级前建议做一个快照备份，将SaltStack设置为自动更新，并及时获取相应的补丁。
2.在Redis没有必要的时候不要暴露在公网上。使用足够强的Redis密码。
3.请参考以下步骤手动检查并删除H2Miner mining特洛伊木马:
杀死包含salt-minions和salt-store文件的进程，其hash为a 28 de 80 D7 ab 5 c 69d 6 ccde 4602 eef 861，8ec 3385 e 20 D6 d9 a 88 BC 95831783 beaeb；
删除文件/tmp/salt-minions，/tmp/salt-store；
在217.12.210.192和206.189.92.32禁止恶意脚本服务器地址；
将SaltStack升级到2019.2.4或3000.2，防止病毒再次入侵。
