{"id":"6a44d7ba3895480f34673bbb67b8a6bf","title":"Linux Crypto Miner + IRC Backdoor Bundle — Linux Crypto Miner + IRC Backdoor Bundle · 木马/恶意软件 · TGZ","md5":"6a44d7ba3895480f34673bbb67b8a6bf","sha256":"d025d6a999d7691d903056414ba18932b3fd01718ddc0812942dd236155b7a32","family":"Linux Crypto Miner + IRC Backdoor Bundle","apt":null,"verdict":null,"sample_type":"木马/恶意软件","lang":"C++","file_format":"TGZ","compiler":"XMRig C++/GCC UPX4.24 + Perl ShellBot","published_at":"2026-08-14T16:00:00.000Z","summary":"该样本是一个精心组织的 Linux 加密货币挖矿 + IRC 远程后门 恶意软件套装包，以 gzip 压缩的 tar 归档形式分发。 核心组件包括： XMRig 6.x 矿工程序 (crond)：使用 UPX 4.24 加壳的 64-bit ELF，支持 RandomX、KawPow、Argon2 等多种算法的门罗币挖矿。解壳后体积 6MB，静态链接，无符号表。 Perl IRC 后门 (Stealth ShellBot v0.2a)：base64 编码的 Perl 脚本，伪装进程名为 edac0，连接 IRC 服务器 179.43.139.83:443，加入 #001 频道，接受管理员 molly/polly 的远程命令。 OpenSSL 加密库 (kthreadadd32)：32-bit ELF，包含 CRYPTOGAMS 汇编优化的加密原语 (Montgomery 乘法)，用于矿池通信的 TLS 加密。 持久化脚本集：通过 crontab 实现开机自启和定时执行，使用 .rsync/ 隐藏目录结构。 竞争矿工清除器：主动终止 redtail、xmrig、kswapd0、kauditd0 等常见挖矿进程，清理竞争对手的 crontab 条目和二进制文件。 威胁评估：该套装对 Linux 服务器构成严重威胁 — 消耗 CPU 资源进行加密货币挖矿，通过 IRC 后门提供远程 Shell 访问，并主动清除安全工具和其他矿工程序以独占资源。C2 基础设施包括 IRC 服务器 (179.43.139.83:443) 和 HTTP 下载器 (208.84.102.192)。","url":"https://zseceye.com/report/6a44d7ba3895480f34673bbb67b8a6bf","json_url":"https://zseceye.com/report/6a44d7ba3895480f34673bbb67b8a6bf.json","html_url":"https://zseceye.com/report/6a44d7ba3895480f34673bbb67b8a6bf","hash_urls":{"md5":"https://zseceye.com/hash/6a44d7ba3895480f34673bbb67b8a6bf","sha256":"https://zseceye.com/hash/d025d6a999d7691d903056414ba18932b3fd01718ddc0812942dd236155b7a32"},"search_urls":{"md5":"https://zseceye.com/?q=6a44d7ba3895480f34673bbb67b8a6bf","sha256":"https://zseceye.com/?q=d025d6a999d7691d903056414ba18932b3fd01718ddc0812942dd236155b7a32"},"sample_download_url":"https://zseceye.com/report/6a44d7ba3895480f34673bbb67b8a6bf/sample","sample_filename":"d025d6a9.zip","iocs":[],"ips":[]}