搜索

[15206] 2020-04-02_警惕：Vollgar僵尸网络每天成功感染近3000台MSSQL服务器

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-04-02_警惕：Vollgar僵尸网络每天成功感染近3000台MSSQL服务器 警 惕 ： V o l l g a r 僵 尸 网 络 每 天 成 功 感 染 近 3 0 0 0 台 M S S Q L 服 务 器 k i r a z h o u   F r e e B u f   2 0 2 0 - 0 4 - 0 2 网 络 安 全 研 究 人 员 发 现 了 一 个 名 为 网 络 安 全 研 究 人 员 发 现 了 一 个 名 为 V o l l g a r 的 加 密 挖 矿 僵 尸 网 络 ， 该 僵 尸 网 络 至 少 自 的 加 密 挖 矿 僵 尸 网 络 ， 该 僵 尸 网 络 至 少 自 2 0 1 8 年 以 来 一 直 在 劫 持 年 以 来 一 直 在 劫 持 M S S Q L 服 务 器 ， 通 过 发 起 暴 力 攻 击 以 接 管 服 务 器 并 安 装 服 务 器 ， 通 过 发 起 暴 力 攻 击 以 接 管 服 务 器 并 安 装 M o n e r o   和 和 V o l l a r 恶 意 挖 矿 软 件 。 恶 意 挖 矿 软 件 。 V o l l g a r 僵 尸 网 络 的 攻 击 目 标 是 暴 露 在 网 上 的 使 用 弱 凭 据 的 M i c r o s o f t   S Q L 服 务 器 ， 在 过 去 的 几 周 中 ， 攻 击 者 几 乎 每 天 成 功 感 染 2 0 0 0 ~ 3 0 0 0 台 服 务 器 。 而 潜 在 的 受 害 者 分 别 来 自 中 国 、 印 度 、 美 国 、 韩 国 和 土 耳 其 的 医 疗 、 航 空 、 I T 和 电 信 以 及 高 等 教 育 部 门 。 V o l l g a r 攻 击 首 先 在 M S - S Q L 服 务 器 上 进 行 暴 力 登 录 尝 试 ， 成 功 后 ， 允 许 攻 击 者 执 行 许 多 配 置 更 改 以 运 行 恶 意 M S - S Q L 命 令 并 下 载 恶 意 软 件 二 进 制 文 件 。 研 究 人 员 表 示 ： “ 攻 击 者 还 会 验 证 某 些 C O M 类 是 否 可 用 ： W b e m S c r i p t i n g . S W b e m L o c a t o r 、 M i c r o s o f t . J e t . O L E D B . 4 . 0 和 W i n d o w s 脚 本 宿 主 对 象 模 型 （ w s h o m ） 。 这 些 类 既 支 持 W M I 脚 本 ， 也 支 持 通 过 M S - S Q L 执 行 命 令 ， 稍 后 将 用 于 下 载 初 始 恶 意 软 件 二 进 制 文 件 。 ”
除 了 确 保 c m d . e x e 和 f t p . e x e 可 执 行 文 件 具 有 必 要 的 执 行 权 限 外 ， V o l l g a r 背 后 的 攻 击 者 还 为 M S - S Q L 数 据 库 以 及 具 有 较 高 特 权 的 操 作 系 统 创 建 了 新 的 后 门 账 户 。 初 始 设 置 完 成 后 ， 攻 击 会 继 续 创 建 下 载 器 脚 本 （ 两 个 V B S c r i p t 和 一 个 F T P 脚 本 ） ， 这 些 脚 本 将 “ 多 次 ” 执 行 ， 每 次 在 本 地 文 件 系 统 上 使 用 不 同 的 目 标 位 置 来 避 免 可 被 发 现 。 其 中 一 个 名 为 S Q L A G E N T I D C . e x e / S Q L A G E N T V D C . e x e 的 初 始 有 效 负 载 首 先 会 杀 死 一 长 串 进 程 ， 目 的 是 确 保 最 大 数 量 的 系 统 资 源 ， 消 除 其 他 威 胁 参 与 者 的 活 动 ， 并 从 受 感 染 的 计 算 机 中 删 除 它 们 的 存 在 。 此 外 ， 它 还 充 当 不 同 R A T 的 投 递 器 ， 以 及 基 于 X M R i g 的 加 密 矿 工 ， 用 于 挖 掘 M o n e r o 和 称 为 V D S 或 V o l l a r 的 A L T 币 。 目 前 ， 攻 击 者 将 整 个 基 础 设 施 都 保 存 在 受 感 染 的 计 算 机 上 ， 具 有 讽 刺 意 味 的 是 ， 发 现 多 个 攻 击 组 织 都 对 它 们 进 行 了 攻 击 。 建 议 ： 管 理 员 可 以 使 用 开 源 P o w e r s h e l l 脚 本 检 查 他 们 的 机 器 是 否 已 被 V o l l g a r 矿 工 感 染 。 * 参 考 来 源 ： 参 考 来 源 ： s e c u r i t y a f f a i r s ， ， k i r a z h o u 编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 。 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理