搜索

[15667] 2020-07-30_一个号称完全无法检测到的Linux后门

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-07-30_一个号称完全无法检测到的Linux后门 一 个 号 称 完 全 无 法 检 测 到 的 L i n u x 后 门 k i r a z h o u   F r e e B u f   2 0 2 0 - 0 7 - 3 0 N g r o k 挖 矿 僵 尸 网 络 活 动 正 在 I n t e r n e t 上 扫 描 配 置 不 当 的 D o c k e r   A P I 端 点 ， 并 且 已 经 用 新 的 恶 意 软 件 感 染 了 无 数 服 务 器 。 确 实 ， N g r o k 挖 矿 僵 尸 网 络 在 过 去 两 年 中 一 直 都 非 常 活 跃 ， 但 不 同 的 是 ， 新 活 动 主 要 针 对 配 置 错 误 的 D o c k e r 服 务 器 ， 并 利 用 它 们 在 受 害 者 的 基 础 架 构 上 运 行 带 有 加 密 矿 工 的 恶 意 容 器 。 这 种 新 的 多 线 程 恶 意 软 件 被 称 为 “ D o k i ” 。 D o k i ， 被 称 为 是 一 个 完 全 无 法 检 测 到 的 L i n u x 后 门 ， 主 要 利 用 一 种 无 记 录 的 方 法 ， 通 过 狗 狗 币 ( 一 种 加 密 货 币 ) 区 块 链 来 联 系 其 运 营 商 ， 从 而 动 态 生 成 其 C 2 域 地 址 。 据 研 究 人 员 称 ， D o k i 可 以 执 行 从 操 作 人 员 发 出 的 命 令 使 用 D o g e c o i n 加 密 货 币 区 块 链 浏 览 器 实 时 动 态 生 成 其 C 2 域 使 用 e m b e d T L S 库 进 行 加 密 功 能 和 网 络 通 信 创 建 短 生 命 周 期 的 独 一 无 二 的 U R L ， 并 在 攻 击 期 间 使 用 它 们 下 载 有 效 负 载 除 此 之 外 ， 攻 击 者 还 设 法 将 新 创 建 的 容 器 与 服 务 器 的 根 目 录 绑 定 ， 从 而 使 主 机 访 问 或 修 改 系 统 上 的 任 何 文 件 ， 造 成 破 坏 。 通 过 使 用 绑 定 配 置 ， 攻 击 者 还 可 以 控 制 主 机 的 c r o n 工 具 ， 从 而 修 改 主 机 的 c r o n 以 每 分 钟 执 行 下 载 的 有 效 负 载 。
容 器 逃 逸 技 术 使 得 攻 击 者 能 够 完 全 控 制 受 害 人 的 基 础 架 构 ， 因 此 D o k i 的 威 胁 程 度 可 见 一 斑 。 再 加 上 D o k i 还 利 用 z m a p 、 z g r a p 和 j q 等 扫 描 工 具 ， 利 用 受 感 染 的 系 统 进 一 步 扫 描 网 络 中 与 R e d i s ， D o c k e r ， S S H 和 H T T P 相 关 的 端 口 ， 存 在 更 大 的 威 胁 隐 患 。 尽 管 2 0 2 0 年 1 月 1 4 日 ， D o k i 已 上 载 到 V i r u s T o t a l ， 并 在 此 后 进 行 了 多 次 扫 描 ， 但 仍 设 法 躲 藏 了 六 个 月 以 上 。 令 人 惊 讶 的 是 ， 目 前 它 仍 然 无 法 被 6 1 个 顶 级 恶 意 软 件 检 测 引 擎 中 的 任 何 一 个 所 检 测 到 。 因 此 ， 建 议 运 行 D o c k e r 实 例 的 用 户 和 组 织 不 要 将 D o c k e r   A P I 设 置 为 公 开 访 问 ， 或 者 确 保 仅 从 受 信 任 的 网 络 或 V P N 访 问 D o c k e r 。 参 考 来 源 参 考 来 源 h t t p s : / / t h e h a c k e r n e w s . c o m / 2 0 2 0 / 0 7 / d o c k e r - l i n u x - m a l w a r e . h t m l 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理