趨勢科技在執行日常記錄檔檢查時發現我們的誘捕網路偵測到一個會從某網域下載二進位檔案的腳本。經過進一步調查分析之後，我們發現該腳本會刪除一些已知的 Linux 惡意程式、挖礦程式以及一些連上某些挖礦服務的連線。除此之外，該腳本也讓人聯想到 Xbash 的功能和 KORKERDS 惡意程式。它會安裝一個挖礦惡意程式，也會將自己植入系統並在 crontab 當中設定排程以便在重新開機後繼續執行，並且防止遭到刪除。
圖 1：我們的誘捕網路偵測到一個會從某網域下載檔案的腳本。
行為分析
在發現這個會下載二進位檔案的腳本之後，我們也進一步查看了我們 2018 年 11 月所蒐集到的某個 KORKERDS 樣本的程式碼， 並發現兩者幾乎相同，除了少數明顯新增及刪除的部分之外。與 KORKERDS 相比，這個新發現的腳本並不會移除系統上已安裝的資安產品，也不會在系統上安裝 Rootkit。反而會將 KORKERDS 惡意挖礦程式和其 Rootkit 清除。基本上，這個新的腳本會刪除 KORKERDS 的惡意程式元件和挖礦執行程序。
圖 2：新的腳本抄襲自 KORKERDS 但卻會殺掉 KORKERDS 的「kworkerds」執行程序。
圖 3：新的腳本也會移除 KORKERDS 的 Rootkit 元件。
繼續閱讀
