搜索

[28776] 2021-02-22_Linux-XMR恶意软件针对高性能计算机

文档创建者：s7ckTeam
浏览次数：72
最后更新：2025-01-19
2021-02-22_Linux-XMR恶意软件针对高性能计算机 L i n u x   -   X M R 恶 意 软 件 针 对 高 性 能 计 算 机 O t s 安 全   2 0 2 1 - 0 2 - 2 2 在 E S E T 发 布 的 报 告 中 ， 标 题 为 “ 出 现 了 狂 放 的 K o b a l o s ： T r i c k s y   L i n u x 恶 意 软 件 追 随 H P C ” ， 详 细 介 绍 了 一 种 新 的 恶 意 软 件 菌 株 ， 该 菌 株 针 对 高 性 能 计 算 （ H P C ） 群 集 。 通 常 ， H P C 是 服 务 器 的 集 合 ， 称 为 节 点 ， 它 们 通 过 快 速 互 连 相 互 连 接 。 每 个 节 点 都 有 特 定 的 任 务 来 处 理 登 录 ， 数 据 传 输 或 高 级 计 算 过 程 ， 并 且 旨 在 确 保 使 用 时 系 统 的 高 性 能 。 H P C 有 时 被 称 为 “ 超 级 计 算 机 ” ， 因 为 它 们 执 行 常 规 台 式 计 算 机 无 法 执 行 的 任 务 或 执 行 时 间 会 太 长 。 名 为 K o b a l o s 的 恶 意 软 件 是 一 种 很 小 但 复 杂 的 恶 意 软 件 。 也 许 是 由 于 这 个 原 因 ， 该 恶 意 软 件 是 用 希 腊 神 话 中 的 一 个 精 灵 命 名 的 ， 该 精 灵 以 引 起 人 类 恶 作 剧 而 著 称 。 那 些 玩 龙 与 地 下 城 的 人 会 熟 悉 名 为 K o b o l d s 的 神 话 生 物 的 日 耳 曼 联 想 。 该 恶 意 软 件 已 经 在 欧 洲 流 行 的 H P C 中 被 发 现 ， 并 且 已 经 在 全 球 范 围 内 针 对 其 他 基 于 L i n u x 的 服 务 器 。 在 北 美 ， 该 恶 意 软 件 是 在 E n d p o i n t   S e c u r i t y 供 应 商 ， 几 台 个 人 服 务 器 和 政 府 网 络 中 发 现 的 。 在 欧 洲 ， 除 了 H P C 群 集 外 ， 还 在 大 学 网 络 ， 网 站 托 管 服 务 器 以 及 市 场 营 销 机 构 中 发 现 了 该 恶 意 软 件 。 在 亚 洲 ， 一 家 大 型 的 互 联 网 服 务 提 供 商 受 到 了 该 恶 意 软 件 的 影 响 。 E S E T 设 法 通 过 使 用 特 定 的 T C P 源 端 口 扫 描 并 连 接 到 S S H 服 务 器 来 发 现 哪 些 网 络 和 服 务 器 受 到 了 影 响 。 研 究 人 员 将 K o b a l o s 描 述 为 通 用 后 门 ， 因 为 它 包 含 的 广 泛 命 令 无 法 揭 示 攻 击 者 的 意 图 。 简 而 言 之 ， K o b a l o s 授 予 对 文 件 系 统 的 远 程 访 问 权 限 ， 提 供 了 生 成 终 端 会 话 的 功 能 ， 并 允 许 代 理 到 其 他 感 染 K o b a l o s 的 服 务 器 的 连 接 。 研 究 人 员 进 一 步 发 现 ， 恶 意 软 件 的 操 作 者 可 以 通 过 多 种 方 式 到 达 受 感 染 的 计 算 机 。 当 K o b a l o s 嵌 入 在 O p e n S S H 服 务 器 可 执 行 文 件 （ S S H D ） 中 时 ， 最 常 见 的 方 式 涉 及 到 这 种 情 况 ， 如 果 连 接 来 自 特 定 的 T C P 源 端 口 ， 它 将 触 发 后 门 代 码 。 发 现 的 恶 意 软 件 的 其 他 变 体 将 连 接 到 攻 击 者 的 命 令 和 控 制 服 务 器 ， 然 后 充 当 中 间 人 或 等 待 给 定 T C P 端 口 上 的 入 站 连 接 。 使 K o b a l o s 独 树 一 帜 的 是 ， 可 以 在 恶 意 软 件 本 身 中 找 到 用 于 与 命 令 和 控 制 （ C 2 ） 服 务 器 通 信 的 代 码 ， 这 使 得 感 染 K o b a l o s 的 任 何 计 算 机 都 可 以 通 过 发 出 单 个 命 令 来 转 换 为 C 2 服 务 器 。 由 于 C ＆ C 服 务 器 ， I P 地 址 和 端 口 被 硬 编 码 到 可 执 行 文 件 中 ， 因 此 操 作 员 可 以 生 成 使 用 此 新 C ＆ C 服 务 器 的 新 K o b a l o s 示 例 。 “ 在 大 多 数 受 K o b a l o s 攻 击 的 系 统 中 ， S S H 客 户 端 被 窃 取 凭 据 。 这 种 凭 据 窃 取 者 不 同 于 我 们 以 前 见 过 的 任 何 恶 意 O p e n S S H 客 户 端 ， 并 且 在 过 去 八 年 中 ， 我 们 已 经 研 究 了 其 中 的 数 十 个 。 该 组 件 的 复 杂 性 与 K o b a l o s 本 身 不 同 ： 没 有 努 力 混 淆 凭 证 窃 取 者 的 早 期 变 体 。 例 如 ， 字 符 串 未 加 密 ， 被 盗 的 用 户 名 和 密 码 仅 写 入 磁 盘 上 的 文 件 。 但 是 ， 我 们 发 现 了 较 新 的 变 体 ， 其 中 包 含 一 些 混 淆 和 通 过 网 络 泄 露 凭 据 的 能 力 … … 这 种 凭 据 窃 取 者 的 存 在 可 能 在 一 定 程 度 上 回 答 了 K o b a l o s 的 传 播 方 式 。 使 用 受 感 染 计 算 机 的 S S H 客 户 端 的 任 何 人 都 将 捕 获 其 凭 据 。 由 于 将 K o b a l o s 封 装 在 一 个 功 能 中 ， 因 此 分 析 K o b a l o s 已 证 明 很 困 难 。 该 安 全 公 司 发 现 的 其 他 L i n u x 恶 意 软 件 通 常 由 几 个 不 同
的 模 块 组 成 ， 这 使 得 对 恶 意 软 件 的 分 析 更 加 容 易 ， 因 为 可 以 逐 个 模 块 地 进 行 分 析 ， 从 而 有 效 地 将 恶 意 软 件 的 功 能 和 特 性 拼 凑 在 一 起 。 K o b a l o s 是 一 个 单 一 功 能 ， 可 以 在 单 个 功 能 内 递 归 调 用 其 任 务 ， 这 意 味 着 在 恶 意 软 件 的 图 片 甚 至 开 始 浮 出 水 面 之 前 ， 整 个 功 能 都 需 要 被 解 读 。 更 麻 烦 的 是 ， 恶 意 软 件 会 加 密 其 所 有 字 符 串 ， 从 而 使 分 析 更 加 艰 巨 。 研 究 人 员 得 出 结 论 ， “ 我 们 无 法 确 定 K o b a l o s 运 营 商 的 意 图 。 受 到 感 染 的 计 算 机 的 系 统 管 理 员 没 有 发 现 除 S S H 凭 据 窃 取 程 序 以 外 的 其 他 恶 意 软 件 。 我 们 也 无 法 访 问 正 在 运 行 的 运 营 商 的 网 络 流 量 捕 获 信 息 … … 将 K o b a l o s 紧 密 地 包 含 在 一 个 功 能 中 ， 以 及 使 用 现 有 的 开 放 端 口 来 访 问 K o b a l o s 使 得 这 种 威 胁 更 加 难 以 发 现 。 希 望 我 们 今 天 在 新 出 版 物 中 揭 示 的 细 节 将 有 助 于 提 高 人 们 对 这 种 威 胁 的 认 识 ， 并 将 其 活 动 放 在 显 微 镜 下 。 这 种 复 杂 性 仅 在 L i n u x 恶 意 软 件 中 很 少 见 。 鉴 于 它 比 平 均 水 平 还 先 进 ， 并 且 它 损 害 了 相 当 大 的 组 织 ， 因 此 K o b a l o s 可 能 会 运 行 一 段 时 间 。 黑 客 十 字 准 线 中 的 黑 客 十 字 准 线 中 的 H P C 集 群 集 群 K o b a l o s 并 不 是 攻 击 者 最 近 针 对 的 H P C 群 集 的 唯 一 实 例 。 到 2 0 2 0 年 年 中 ， 有 关 英 国 国 家 超 级 计 算 服 务 A R C H E R 的 工 作 开 始 浮 出 水 面 。 攻 击 四 天 后 ， 所 有 服 务 尚 未 完 全 恢 复 。 当 时 ， 美 国 当 局 警 告 说 ， 代 表 中 国 政 府 开 展 工 作 的 由 国 家 资 助 的 攻 击 者 正 在 针 对 参 与 C O V I D - 1 9 研 究 的 学 术 ， 制 药 和 医 疗 机 构 的 网 络 。 A R C H E R 可 能 已 受 到 这 些 操 作 的 影 响 ， 因 为 它 为 需 要 运 行 大 型 计 算 和 模 拟 （ 例 如 与 C O V I D - 1 9 暴 发 建 模 相 关 的 实 验 ） 的 学 术 研 究 人 员 和 工 业 用 户 提 供 了 超 级 计 算 服 务 。 A R C H E R 服 务 适 用 于 英 国 和 其 他 国 家 / 地 区 的 研 究 人 员 。 对 于 那 些 对 技 术 规 格 感 兴 趣 的 人 ， 其 核 心 硬 件 包 括 具 有 1 1 1 , 0 8 0 个 I n t e l   I v y   B r i d g e 处 理 核 心 的 C r a y   X C 3 0 大 规 模 并 行 超 级 计 算 机 。 最 初 的 A r c h e r 服 务 于 2 0 1 3 年 1 1 月 启 动 ， 目 前 正 在 过 渡 到 具 有 7 4 8 , 5 4 4 个 A M D 内 核 的 2 8   p e t a f l o p s   C r a y 超 级 计 算 机 上 。 该 事 件 于 5 月 1 1 日 首 次 向 公 众 披 露 ， 该 事 件 被 描 述 为 涉 及 A R C H E R 登 录 节 点 上 的 漏 洞 ， 并 使 该 服 务 脱 机 。 在 欧 洲 网 格 基 础 设 施 （ E G I ） C S I R T 咨 询 中 ， 官 员 们 发 现 了 两 个 单 独 的 H P C 实 例 遭 到 黑 客 攻 击 的 情 况 。 波 兰 ， 加 拿 大 和 中 国 的 服 务 器 受 到 了 影 响 。 一 起 事 件 涉 及 到 以 学 术 数 据 中 心 为 目 标 的 黑 客 ， 攻 击 者 通 过 受 感 染 的 S S H 凭 据 设 法 从 一 个 受 害 者 跳 到 另 一 个 受 害 者 。 根 据 受 害 人 的 身 份 来 确 定 被 劫 持 机 器 的 用 途 。 涉 及 的 任 务 ： X M R 挖 掘 主 机 （ 运 行 隐 藏 的 X M R 二 进 制 文 件 ） X M R 代 理 主 机 。 攻 击 者 使 用 来 自 X M R 挖 掘 主 机 的 这 些 主 机 连 接 到 其 他 X M R 代 理 主 机 ， 并 最 终 连 接 到 实 际 的 挖 掘 服 务 器 。 S O C K S 代 理 主 机 （ 在 高 端 口 上 运 行 m i c r o S O C K S 实 例 ） 。 攻 击 者 通 常 通 过 T o r 从 S S H 通 过 S S H 连 接 到 这 些 主 机 。 T o r 也 使 用 M i c r o S O C K S 。 隧 道 主 机 （ S S H 隧 道 ） 。 攻 击 者 通 过 S S H （ 漏 洞 帐 户 ） 连 接 并 配 置 N A T   P R E R O U T I N G （ 通 常 用 于 访 问 私 有 I P 空 间 ） 。 针 对 加 密 货 币 挖 矿 和 部 署 加 密 挖 矿 恶 意 软 件 而 针 对 H P C 群 集 被 认 为 是 许 多 加 密 挖 矿 黑 客 的 圣 杯 目 标 。 提 供 给 黑 客 挖 掘 的 主 要 C P U 和 G P U 资 源 将 被 颠 覆 为 加 密 挖 掘 。 这 可 能 会 导 致 更 快 ， 更 有 效 的 挖 掘 ， 尽 管 如 果 长 时 间 进 行 则 是 非 法 的 ， 并 且 在 此 期 间 仍 需 要 检 测 不 到 黑 客 的 恶 意 软 件 。 鉴 于 H P C 集 群 将 对 世 界 变 化 的 技 术 进 行 仿 真 ， 因 此 毫 无 疑 问 ， 政 府 资 助 的 组 织 会 将 这 些 机 器 作 为 目 标 来 获 取 它 们 包 含 的 大 量 信 息 。 不 仅 是 政 府 资 助 的 黑 客 ， 而 且 还 包 括 从 事 企 业 间 谍 活 动 的 黑 客 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理