云网牛站
所在位置:首页 > Linux新闻 > 基于Python的僵尸网络将Linux机器变成挖矿机器人

基于Python的僵尸网络将Linux机器变成挖矿机器人

2018-01-09 09:35:02作者:局长稿源:开源中国

F5 Networks 的安全研究人员发现了一个新的 Linux 加密僵尸网络,并将其命名为"PyCryptoMiner",它主要的攻击目标是具有公开 SSH 端口的 Linux 系统。

 

根据研究人员的描述,PyCryptoMiner 主要包括以下五个特性:

1.基于 Python 脚本语言,这意味着很难被检测出来。

2.在原始命令和控制(C&C)服务器不可用时,会利用 Pastebin[.]com(在用户名“WHATHAPPEN”下)接收新的 C&C 服务器分配。

3.域名注册人与超过 3.6 万个域名相关联,其中一些域名自 2012 年以来一直以不好的服务而闻名。

4.被用于开采一种深受网络分子青睐且具备高度匿名性的加密货币——门罗币(Monero)。截至 2017 年 12 月下旬,PyCryptoMiner 已经开采了大约价值 4.6 万美元的门罗币。

5.利用 CVE-2017-12149 漏洞,在 12 月中旬推出了针对易受攻击的 JBoss 服务器的新扫描功能。

 

与二进制恶意软件替代方案不同,基于 Python 脚本语言,使得 PyCryptoMiner 更容易被混淆、更具规避性。此外,它也是由一个合法的二进制文件执行的。

PyCryptoMiner 通过尝试猜测目标 Linux 设备的 SSH 登录凭证进行传播,如果成功,它将部署一个简单的 base64 编码的 Python 脚本,用于连接 C&C 服务器以下载和执行额外的 Python 代码。

这个 Python 脚本还会收集有关受感染设备的信息,包括主机/DNS名称,操作系统名称和架构、CPU 数量以及 CPU 使用率,它还会检查设备是否已经受到感染,以及受感染的设备是否用于门罗币挖掘或扫描。

研究人员通过 Pastebin[.]com 页面提供的信息确认,PyCryptoMiner 可能在 2017 年 8 月就已经启动。在调查中,该资源已被查看了 177987 次,且每天大约会增加 1000 次左右。

基于Python的僵尸网络将Linux机器变成挖矿机器人

 

在查询这些 C&C 服务器的域名“zsw8”时,发现注册人名称是“xinqian Rhys”

基于Python的僵尸网络将Linux机器变成挖矿机器人

域名注册人与超过 3.6 万个域名相关联,其中一些域名自 2012 年以来一直以不好的服务而闻名。

PyCryptoMiner 使用了两个钱包地址,分别有 94 和 64 个门罗币,价值约为 4.6 万美元。

基于Python的僵尸网络将Linux机器变成挖矿机器人

 

相关主题

Opera 50浏览器已加入“挖矿防护”功能,提供Linux版下载

精选文章
热门文章