别听风就是雨--记ADB.Miner安卓设备挖矿事件探究 Secer's Blog - 记录互联网安全历程与个人成长经历

导语：0x01 前言 ADB.Miner安卓设备挖矿这件事情还是在年前的2月8号，360安全团队，发布安全预警，看到这消息，其实很吓人，公网上暴露的安卓设备如果都用来挖矿，这不是发了？于是我在公网上启动了国内网段扫描，看看到底有多少设备暴露

0x01 前言

ADB.Miner安卓设备挖矿这件事情还是在年前的2月8号，360安全团队，发布安全预警，看到这消息，其实很吓人，公网上暴露的安卓设备如果都用来挖矿，这不是发了？于是我在公网上启动了国内网段扫描，看看到底有多少设备暴露，蹭一下热点。

0x02 扫描TCP 5555端口

咱也没有360scanmon这么高科技的威胁情报基础设施，只能自食其力，使用的扫描软件是嘶吼发表的以溯源为目的蜜罐系统建设中的扫描软件，不过做了一下改良，因为当时扫描有一个问题，通过用空间换时间的策略，速度提升了很多，但是也暴露了一个问题，没有办法实时查看扫描结果。Masscan扫描阶段需要3天，Nmap扫描需要大约7天，这个太耽误事了，

·扫描优化

csvfile = file('5555.csv', 'wb')
writer = csv.writer(csvfile)

while not g_queue.empty():
    item = g_queue.get()
    result = "result"+item.strip()+".xml"
    p = subprocess.Popen("/usr/bin/nmap -oX "+result+" -sV -p5555 "+item, shell=True)
    p.wait()
    if p.returncode == 0:
        nmap_report = NmapParser.parse_fromfile(result)
        for scanned_hosts in nmap_report.hosts:
            print scanned_hosts.address
            for serv in scanned_hosts.services:
                if serv.state == "open":
                    m = serv.service_dict.get('extrainfo', '')
                    print m
                    if m.find('\'') != -1:
                        pass
                    else:
                        writer.writerow([scanned_hosts.address, str(serv.port), serv.service,
                                         serv.service_dict.get('product', ''),
                                         serv.service_dict.get('version', ''),
                                         serv.service_dict.get('extrainfo', '')])

这样随时可以随时看到扫描结果。

wc -l 5555.csv
465662 5555.csv

最终扫描结果大约46万多个IP开放了5555端口

·扫描结果处理

使用pandas聚类分析一下开放的服务类型出现的次数

#coding:utf-8
import numpy as np
import matplotlib.pyplot as plt
import pandas as pd

userdata =pd.DataFrame(pd.read_csv('/Users/xxx/Desktop/5555.csv',header=0))

two_userdata = userdata.groupby('service').size().sort_values(ascending=False)[:10]
two_userdata.plot(kind='barh', color='#d62728', alpha=0.5, rot=0)
plt.xlabel(u'出现次数')
plt.ylabel(u'服务类型')
plt.legend()
plt.show()

可以看出36万多IP开启freeciv服务。还有9万多IP做了端口转发

备注: Nmap扫描会出现freeciv? 这说明nmap也无法确认指纹的准确性。所以，数据需要提纯。

Starting Nmap 6.40 ( http://nmap.org ) at 2018-02-13 23:02 CST
Nmap scan report for 14.29.49.198
Host is up (0.039s latency).
PORT STATE SERVICEVERSION
5555/tcp openfreeciv?

0x03 如何判断通过adb远程安装apk文件？

·入侵流程

首先在自己的服务器或者个人电脑上安装adb软件，目的是启动ADB Server，因为adb协议是双向监听端口，其次可以运用adb connect、adb –s install apk等命令。

安装完成后运行：adb start-server 本地监控5037端口。

然后开启多线程扫描连接开放TCP 5555的IP设备

        while not g_queue.empty():
            item = g_queue.get()
            p = subprocess.Popen("adb connect "+item+"",stdout=subprocess.PIPE,shell=True)
            line = p.stdout.readline()
            print line
            ret1 = line.find('connected')
            print ret1
            if ret1==0:
                print item
                writer.writerow([item])
            p.wait()

扫描结果如下：发现很多设备offline。