搜索

[13285] 2018-10-11_新XBash恶意软件融合勒索病毒、挖矿、僵尸网络和蠕虫功能

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2018-10-11_新XBash恶意软件融合勒索病毒、挖矿、僵尸网络和蠕虫功能 新 X B a s h 恶 意 软 件 融 合 勒 索 病 毒 、 挖 矿 、 僵 尸 网 络 和 蠕 虫 功 能 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 1 0 - 1 1 近 期 ， 近 期 ， P a l o   A l t o   N e t w o r k 的 研 究 人 员 发 现 了 一 款 名 叫 的 研 究 人 员 发 现 了 一 款 名 叫 X B a s h 的 新 型 恶 意 软 件 ， 而 这 款 恶 意 软 件 不 仅 是 一 个 勒 索 的 新 型 恶 意 软 件 ， 而 这 款 恶 意 软 件 不 仅 是 一 个 勒 索 软 件 ， 而 且 它 还 融 合 了 挖 矿 、 僵 尸 网 络 和 蠕 虫 等 功 能 。 软 件 ， 而 且 它 还 融 合 了 挖 矿 、 僵 尸 网 络 和 蠕 虫 等 功 能 。 研 究 人 员 表 示 ， X B a s h 主 要 针 对 的 是 L i n u x 和 W i n d o w s 服 务 器 。 该 恶 意 软 件 采 用 P y t h o n 开 发 ， 并 且 使 用 P y I n s t a l l e r 这 样 的 合 法 工 具 来 将 恶 意 软 件 主 体 隐 藏 在 了 自 包 含 的 L i n u x   E L F 可 执 行 文 件 中 以 便 实 现 传 播 。 X B a s h 的 恶 意 代 码 借 鉴 了 很 多 不 同 种 类 的 恶 意 软 件 ， 例 如 勒 索 软 件 、 加 密 货 币 挖 矿 软 件 、 僵 尸 网 络 以 及 蠕 虫 病 毒 等 等 。 P a l o   A l t o N e t w o r k s 的 研 究 人 员 在 分 析 报 告 中 写 到 ： “ X B a s h 融 合 了 勒 索 软 件 和 其 他 的 恶 意 攻 击 能 力 ， 而 且 还 具 备 自 我 传 播 的 功 能 ， 这 也 就 意 味 着 它 拥 有 跟 W a n n a C r y 或 P e t y a / N o t P e t y a 类 似 的 蠕 虫 功 能 。 启 用 了 ‘ 蠕 虫 功 能 ’ （ 该 功 能 目 前 还 没 有 启 用 ） 之 后 ， 它 将 能 够 迅 速 在 受 感 染 的 目 标 组 织 网 络 中 传 播 。 ” 在 对 恶 意 代 码 进 行 了 深 入 分 析 之 后 ， 研 究 人 员 将 X B a s h 背 后 的 网 络 犯 罪 组 织 锁 定 在 了 I r o n G r o u p 的 身 上 。 I r o n   G r o u p 这 个 网 络 犯 罪 组 织 从 2 0 1 6 年 开 始 就 一 直 活 跃 至 今 ， 当 初 该 组 织 因 为 I r o n 勒 索 软 件 而 出 名 ， 近 几 年 该 组 织 也 开 发 了 多 种 恶 意 软 件 ， 其 中 包 括 后 门 、 恶 意 挖 矿 软 件 、 以 及 多 种 针 对 移 动 端 和 桌 面 端 系 统 的 勒 索 软 件 。 根 据 I n t e z e r 发 布 的 分 析 报 告 ， 在 2 0 1 8 年 4 月 份 ， 研 究 人 员 在 监 控 公 共 数 据 F e e d 的 时 候 ， 发 现 了 一 个 使 用 了 H a c k i n g T e a m 泄 漏 的 R C S 源 代 码 的 未 知 后 门 。 研 究 人 员 表 示 ： “ 我 们 发 现 这 个 后 门 是 由 I r o n   G r o u p 开 发 的 ， 而 这 个 网 络 犯 罪 组 织 也 是 I r o n 勒 索 软 件 的 开 发 组 织 。 目 前 为 止 ， 已 经 有 数 千 名 用 户 遭 到 了 I r o n   G r o u p 的 攻 击 。 ” 除 此 之 外 ， X B a s h 还 可 以 自 动 搜 索 互 联 网 中 存 在 安 全 漏 洞 的 服 务 器 ， 恶 意 代 码 会 搜 索 没 有 及 时 打 补 丁 的 W e b 应 用 程 序 ， 并 使 用 一 系 列 漏 洞 利 用 代 码 或 基 于 字 典 的 爆 破 攻 击 来 搜 索 用 户 凭 证 。 当 X B a s h 搜 索 到 了 正 在 运 行 的 H a d o o p 、 R e d i s 或 A c t i v e M Q 之 后 ， 它 将 尝 试 对 目 标 服 务 器 实 施 攻 击 ， 并 进 行 自 我 传 播 。 X B a s h 目 前 主 要 利 用 的 三 种 漏 洞 如 下 ： 目 前 主 要 利 用 的 三 种 漏 洞 如 下 ：
1 . H a d o o p Y A R N   资 源 管 理 器 中 未 经 认 证 的 代 码 执 行 漏 洞 ， 该 漏 洞 最 早 在 2 0 1 6 年 1 0 月 份 就 被 曝 光 了 ， 并 且 一 直 没 有 分 配 C V E 编 号 。 2 . R e d i s 任 意 文 件 写 入 和 远 程 代 码 执 行 漏 洞 ， 该 漏 洞 最 早 在 2 0 1 5 年 1 0 月 份 就 被 曝 光 了 ， 并 且 同 样 没 有 分 配 C V E 编 号 。 3 . A c t i v e M Q 任 意 文 件 写 入 漏 洞 ， C V E - 2 0 1 6 - 3 0 8 8 。 这 款 恶 意 软 件 在 成 功 入 侵 了 存 在 漏 洞 的 R e d i s 服 务 器 后 ， 将 能 够 感 染 同 一 网 络 内 的 其 他 W i n d o w s 系 统 。 X B a s h 的 扫 描 组 件 可 扫 描 的 目 标 有 W e b 服 务 器 （ H T T P ） ,   V N C ,   M a r i a D B ,   M y S Q L ,   P o s t g r e S Q L , R e d i s ,   M o n g o D B , O r a c l e   D B ,   C o u c h D B ,   E l a s t i c S e a r c h ,   M e m c a c h e d ,   F T P ,   T e l n e t ,   R D P , U P n P / S S D P ,   N T P ,   D N S ,   S N M P ,   L D A P , R e x e c ,   R l o g i n ,   R s h 和 R s y n c 。 从 非 法 盈 利 方 面 来 看 ， 攻 击 者 主 要 通 过 在 目 标 W i n d o w s 系 统 中 实 现 恶 意 挖 矿 以 及 针 对 运 行 了 数 据 库 服 务 的 L i n u x 服 务 器 进 行 勒 索 攻 击 来 实 现 牟 利 。 X B a s h 组 件 可 以 扫 描 和 删 除 M y S Q L 、 M o n g o D B 和 P o s t g r e S Q L 数 据 库 ， 并 向 目 标 主 机 发 送 勒 索 消 息 ， 然 后 要 求 用 户 支 付 0 . 0 2 个 比 特 币 来 “ 赎 回 ” 他 们 的 数 据 。 不 幸 的 是 ， 就 算 用 户 支 付 了 赎 金 ， 他 们 也 不 可 能 再 拿 回 自 己 的 数 据 了 ， 因 为 恶 意 软 件 在 删 除 数 据 的 时 候 根 本 就 没 备 份 … 研 究 人 员 表 示 ， 他 们 对 X B a s h 样 本 中 的 比 特 币 钱 包 地 址 进 行 了 分 析 ， 分 析 结 果 表 明 ， 从 2 0 1 8 年 5 月 份 开 始 ， 相 关 的 钱 包 总 共 有 4 8 笔 转 账 交 易 ， 收 入 总 共 为 0 . 9 6 4 个 比 特 币 ， 当 时 的 价 值 大 约 为 6 0 0 0 美 金 。 研 究 人 员 还 发 现 ， X B a s h 中 还 有 一 部 分 针 对 企 业 网 络 的 代 码 ， 即 一 个 名 叫 “ L a n S c a n ” 的 P y t h o n 类 ， 这 个 类 可 以 帮 助 恶 意 软 件 扫 描 本 地 局 域 网 信 息 ， 并 收 集 网 络 内 其 他 主 机 的 I P 地 址 。 不 过 这 个 类 目 前 还 没 有 激 活 使 用 ， 说 明 攻 击 者 还 在 开
发 这 个 功 能 。 专 家 认 为 ， X B a s h 之 后 还 会 出 现 更 多 新 的 变 种 ， 因 此 广 大 用 户 还 需 保 持 警 惕 。 关 于 X B a s h 的 更 多 信 息 ， 可 以 从 研 究 人 员 发 布 的 报 告 中 获 取 【 传 送 门 】 。 * 参 考 来 源 ： s e c u r i t y a f f a i r s ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理