标签: 僵尸网络

安全专家发现最新僵尸网络的控制主机也提供游戏私服

近日安全研究公司 Radware 发现了一个新的僵尸网络 “ JenX ”,其设计用途为在全球范围内劫持安全薄弱的物联网设备作为肉鸡,有趣的是安全公司发现 JenX 程序背后指向一支名为 San Calvicie 的黑客团队,而黑客团队用于分布式拒绝攻击 DDoS 的服务器控制主机位于东非的塞舌尔群岛。他们的控制主机除了执行 DDoS 攻击之外,还被用于作为R星经典游戏《侠盗猎车手:圣安地列斯》的私服主机。 僵尸网络主机可追溯到 San Calvicie 组织的官网,研究团队发现这些主机正在为 R 星游戏《侠盗猎车手:圣安地列斯》提供私服主机服务,玩家们可以在中创建 Mod,并要求其他玩家加入私服游戏。同时这些主机还提供防御 DDoS 攻击的服务,售价为每月 16 美元。 而与此同时,这些黑客也提供按需提供分布式拒绝攻击 DDoS 的服务,每次 20 美元。网站上如此宣传这项服务“神怒会砸向你要求攻击的 IP ”。这些组织最早提供 100Gbps 的 DDoS 的攻击服务,而在他们建立好 JenX 僵尸网络后,攻击流量直接升级至 300Gbps 。专家并不确定被劫持的物联网设备数量。 稿源:cnBeta,封面源自网络;

僵尸网络 Smominru 利用 NSA 泄露漏洞感染 52.6 万多设备挖掘门罗币

据媒体 1 月 31 日报道,“ 僵尸网络 ” 恶意软件 Smominru 已经通过泄露的 NSA 漏洞感染了 52.6 万多台电脑。 网络安全公司的软件安全研究人员已经发现了一个名为 Smominru 的新的全球僵尸网络,它也被称为 Ismo ,它使用了国家安全局( NSA )漏洞永恒之蓝来传播门罗币挖矿的恶意软件。 媒体称,这款 “ 永恒之蓝 ” 的漏洞被所谓的 “ 影子经纪人 ” (Shadow Brokers)黑客泄露,据报道,这些黑客还在幕后操纵着 2017 年的 “ WannaCry  蠕虫病毒勒索软件。 据证实,Smominru 僵尸网络自 2017 年 5 月起就开始感染电脑,每天大约会挖掘 24 个门罗币。到目前为止,据报道,“ 僵尸网络 ” 在新闻发布时已经成功挖掘了 8900 个门罗币,约合 210 万美元。研究人员说,在俄罗斯、印度和台湾发现了数量最多的 smominru 感染电脑。 根据证据,网络犯罪分子瞄准的是易受攻击的 Windows 系统,也使用了一种被泄露的 NSA 协议,叫做 EsteemAudit 。 根据 thehackernews.com 网站,专家们还通知 DDoS 保护服务 SharkTech, Smominru 的指挥和控制基础设施已经被检测到,但是他们没有得到回应。 正如 Cointelegraph 在 1 月 28 日报道的那样,通过在线广告进行大规模的门罗币挖掘恶意软件攻击,主要是由于有争议的加密货币挖掘和广告平台 cove,影响了全球范围内的大量用户和在线业务,包括 Youtube。 稿源:九个亿财经,封面源自网络;

新型僵尸网络 HNS 不断增长,已感染逾 2 万物联网设备

外媒 1 月 25 日消息,一个名为 Hide’N Seek( HNS )的新僵尸网络正在世界各地不断增长,对物联网设备造成重大影响(截至目前为止,受感染的物联网设备数量已达 2 万)。据研究人员介绍,HNS 僵尸网络使用定制的点对点通信来诱捕新的物联网设备并构建其基础设施,目前 HNS 主要是针对不安全的物联网设备,尤其是 IP 摄像机。 Bitdefender 的安全研究人员发现 HNS 僵尸网络于 2018 年 1 月 10 日首次出现,和其他与 Mirai 有关的物联网(IoT)僵尸网络并不相同。因为 HNS 有着不同的起源,且不共享其源代码。事实上,Bitdefender 高级电子威胁分析师 Bogdan Botezatu 认为 HNS 与 Hajime 僵尸网络更为相似。 Bitdefender 的研究人员在 1 月 24 日发表的博客文章中写道: “ HNS 僵尸网络以复杂并且分散的方式进行通信,使用多种防篡改技术来防止第三方劫持。” 其僵尸程序可以通过与 Reaper 相同的漏洞( CVE-2016-10401 和其他针对网络设备的漏洞),对一系列设备进行 Web 开发。 除此之外,HNS 还可以执行多个命令,包括数据泄露、代码执行和对设备操作的干扰。其僵尸程序具有类似蠕虫的特性,可以随机生成一个 IP 地址列表来获得潜在的目标,随后向列出的每个目标设备发起一个原始的套接字 SYN 连接。 一旦连接成功,僵尸程序将查找设备提供的 “ buildroot login ” 横幅,并尝试使用一组预定义凭据进行登录。如果失败,它会试图通过使用硬编码列表的字典攻击来破解设备的密码。 其次,若用户设备与僵尸程序具有相同的局域网,那么僵尸程序将会设置 TFTP 服务器,以便受害者能够下载样本。但如果是位于互联网上,僵尸程序将尝试一种特定的远程有效载荷传递方法,让用户设备下载并运行恶意软件样本。 一旦设备被感染,僵尸网络背后的黑客就可以使用命令来控制它。目前僵尸网络已经从最初的 12 个受损设备增加到 2 万多个。 但幸运的是,像大多数物联网僵尸网络一样,HNS 僵尸网络不能在受感染的设备上建立持久性。只要通过简单的设备重新启动, 受感染的设备中就可以自动删除恶意软件。 目前 Bitdefender 的研究人员尚未发现 HNS 僵尸网络具有 DDoS 功能,这意味着 HNS 将被部署为一个代理网络。另外,研究人员透露 HNS 僵尸网络仍然不断变化中,可能会被应用于多种攻击场景。 消息来源:IBTimes,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

IBM 推出 Quad9 公共 DNS 服务(9.9.9.9),将屏蔽僵尸网络等网络主机关联域名

IBM 、Global Cyber Alliance 和 Packet Clearing House 合作推出了免费的 Quad9 公共 DNS 服务(9.9.9.9),它将会屏蔽与僵尸网络、钓鱼攻击和其它恶意主机相关联的域名。 Quad9 的工作与其它免费的公共 DNS 相似,但不会返回已识别为恶意的域名解析。测试显示,Quad9 相比 Google 的 公共 DNS 服务 8.8.8.8,其响应延迟时间更长,但 Quad9 项目成员表示通过缓存和增加节点将有助于减少延迟。GCA 的 Phil Rettinger 称,Quad9 注重隐私保护,不会记录发出请求的地址,只保存地理位置数据,目的是为了跟踪特定恶意域名相关的请求。 稿源:Solidot,封面源自网络;

CSE ZLab 安全报告:发现新型僵尸网络 Wonder 程序踪迹

HackerNews.cc 10 月 23 日消息,CSE CybSec ZLab 实验室研究人员近期在暗网调查恶意代码时发现一份以 “NetflixAccountGenerator.exe” 命名的应用软件,其承诺为用户免费提供 Netflix 网站高级帐号。然而用户一旦下载该软件将会自动安装僵尸程序感染自身系统,从而被动参与黑客发起的网络攻击活动。目前,该恶意程序被用于僵尸网络 Wonder 传播。 调查显示,研究人员在分析这款 “exe” 应用文件时发现只有一个网站于 9 月 20 日首次上传该恶意软件后被提示存在风险。对此,研究人推测可能是恶意软件开发人员为其设置了 “隐身” 程序。此外,该款恶意软件的命令与控制服务器的接口隐藏在虚假页面链接中。(如下图) 对此,研究人员经检验证实,位于虚假页面 “wiknet.wikaba.com” 左侧链接上的 “support.com” 指向僵尸网络 C&C 服务器前端。有趣的是,它的每个链接指的都是原始页面。只要点击一个链接,研究人员就将被重定向至 “support.com” 相应页面。另外,研究人员还发现了一些隐藏的路径,其中包含僵尸程序使用的信息和命令。(如下图) 知情人士透露,该恶意软件由两部分组成: Ο 下载器:它是一个 .NET 可执行文件,其唯一目的是下载并执行真正的僵尸程序代码后上传到 “pastebin.com/raw/E8ye2hvM” 上。 Ο 真正的僵尸程序:当它被下载和执行时,将会感染主机、设置持久机制并启动恶意操作。 CSE Cybsec ZLab 发布的报告中还包括 IoCs 和 Yara 规则的进一步技术细节,感兴趣的用户可通过以下链接下载完整报告进行查看:《Malware Analysis Report: Wonder Botnet》 原作者:Pierluigi Paganini,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接

新型 IOT 僵尸网络神秘来袭,全球百万企业已遭感染

HackerNews.cc 10 月 20 日消息,网络安全公司 Check Point 研究人员近期发现一波新型物联网(IOT)僵尸网络神秘来袭,全球百万企业已被感染,其中美国、澳大利亚等地区受影响情况最为严重且感染数量仍在持续增加。据称,它与此前影响全球的僵尸网络 Mirai 有多数相似之处。 调查显示,该僵尸网络于今年 9 月出现,且可能要比想象的更加复杂。黑客试图利用各种 IP 摄像机模型中的已知漏洞展开攻击,其受影响设备包括 GoAhead、D-Link、TP-Link、AVTECH、NETGEAR、MikroTik、Linksys 与 Synology。研究人员推测,一旦目标设备感染恶意软件,其自身就会进行扩展传播。 据悉,研究人员在调查受影响的 GoAhead 设备时发现,攻击者主要通过触发漏洞 CVE-2017-8225 侵入目标设备的 System.ini 文件,并依赖恶意软件感染分发。值得注意的是,攻击者不仅通过系统文件窃取用户凭据,还利用设备 “Netcat” 命令打开设备 IP 、反向 shell。 Check Point 研究人员指出,此次攻击来自不同国家的不同类型设备,其约 60% 的 Check Point ThreatCloud 企业网络遭受感染。目前,他们已在线公布易受攻击的物联网设备列表。虽然尚不了解幕后黑手真正意图,但他们根据证据推测攻击者极有可能发动大规模 DDoS 攻击。 原作者:Pierluigi Paganini,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接

新型僵尸网络 KnockKnock:黑客企图侵入 Office 365 系统帐户后发动网络钓鱼攻击

据外媒 10 月 7 日报道,网络安全公司 Skyhigh Networks 研究人员近期通过安全引擎检测后发现黑客利用新型僵尸网络 KnockKnock 侵入 Office 365 系统帐户,旨在感染整个内部环境的同时发动网络钓鱼攻击。 调查显示,虽然此次攻击运动从 5 月开始,但由于黑客手段较为隐蔽,其研究人员直至检测引擎异常后才悄然发现该恶意行为。据悉,攻击者通过 63 个网络中的 83 个 IP 地址组成了一个小型的僵尸网络 KnockKnock 后侵入 Office 365 系统帐户,其中这些 IP 域名都在中国注册。然而,值得注意的是,这 83 个被识别的 IP 地址中没有一个被列入垃圾域名列表,这意味着此次攻击活动的进行极其小心隐蔽。此外,攻击者还在感染了其他 15 个国家(包括巴西、俄罗斯、美国、马来西亚)的目标设备后持续分发恶意软件。 僵尸网络 KnockKnock 主要攻击那些没有分配给任何一个用户的系统帐户(例如:大型企业的服务帐户、自动化账户、计算机应用程序帐户、自动化营销账户、企业内部工具账户等),因为它们通常具有较高的访问权限与较差的安全性能。 Skyhigh Networks 发布的分析报告显示,攻击者发动了一起缓慢而有条不紊的攻击活动,即企图在监控之下分发恶意软件后感染 Office 365 账户,而并非暴力破解。据悉,一旦攻击者接管一个帐户时,他们首先会查看该账户收件箱中的所有数据。然后,创建另一个新收件箱规则,从而劫持传入的所有邮件。研究人员表示,这是黑客针对公司网络攻击的第一阶段,一旦企业系统帐户遭到破坏,攻击者就可在公司内部肆意开展钓鱼攻击。目前超过 50% 的 Office 365 帐户遭受影响。 研究人员表示,随着时间的推移,攻击者可以根据目标组织调整有效负载,从而接管更多用户账号进行攻击活动。因此,他们建议用户不用轻易点击未知名邮件并安装全方位杀毒软件,以防黑客攻击、保障系统安全。 原作者:Pierluigi Paganini,译者:青楚  本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

赛门铁克安全报告:2016 年全球逾 670 万设备感染恶意软件

HackerNews.cc  9 月 27 日消息,赛门铁克于近期的安全报告中分享了一款最新版本的僵尸网络跟踪器,旨在监控欧洲、中东与非洲等地区受恶意软件感染的情况。调查显示,2016 年全球逾 670 万台设备沦为 “僵尸网络军队”。 赛门铁克表示,感染恶意软件的联网设备已然成为黑客主流工具,因为它们可以被用来启动大规模分布式拒绝服务(DDoS)攻击。相关数据显示,全球逾 670 万台受感染设备中,欧洲占 18.7%。然而,俄罗斯在欧洲所有国家中受感染设备最多(13.6%)。不过,如果根据欧洲地区使用互联网的人口数量计算,俄罗斯的 “ 僵尸密度 ” 相对较低。研究人员表示,这种相对较低的感染率可能在某种程度上受到俄罗斯黑客组织行为守则的影响。此外,英国于 2016 年在欧洲受感染数量排名 11,其中超过 1300 万用户成为受害者。与此同时,虽然罗马教廷是欧洲最小的国家,但受感染设备却在全球范围内覆盖密度最广。 图:英国僵尸网络的统计与分析 研究人员 Candid Wueest 表示,受害设备是攻击者在僵尸网络中使用的关键工具。不过,当前网络犯罪分子不仅仅只使用计算机设备开展攻击活动,他们越来越多的开始利用智能手机与物联网(IoT)设备。事实上,IoT 设备可能成为未来全球传播恶意软件的主流载体。 赛门铁克表示,陷入僵尸网络的受害者们在多数情况中都是在不知情下成为犯罪参与者。然而,如果您的设备在运行时开始大幅度减速、显示神秘信息或无缘无故出现崩溃现象时,可能已经被攻击者利用。目前,研究人员建议用户设备时刻保持最新安全更新状态并且不要随意点击任何可疑链接,以防感染恶意软件。 原作者:Jason Murdock, 译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

新型 IoT 僵尸网络 Linux.ProxyM 通过感染 Linux 设备发送钓鱼邮件、开展 DDoS 攻击活动

HackerNews.cc  9 月 22 日消息,网络安全公司 Doctor Web 研究人员近期发现黑客利用新型物联网( IoT )僵尸网络 Linux.ProxyM 肆意发送钓鱼邮件,旨在感染更多 Linux 设备、开展 DDoS 匿名攻击活动。 调查显示,该僵尸网络自 2017 年 5 月以来一直处于活跃状态,其感染 Linux.ProxyM 的设备数量已多达 1 万台左右。然而,值得注意的是,僵尸网络 Linux.ProxyM 所分发的恶意软件能够在任何 Linux 设备(包括路由器、机顶盒与其他设备)上运行、还可规避安全检测。 目前,安全专家针对基于 x86、MIPS、MIPSEL、PowerPC、ARM、Superh、Motorola 68000 与 SPARC 架构的设备识别出两款 Linux.ProxyM 木马。一旦 Linux.ProxyM 木马感染上述其中一台设备,它都能够连接至命令与控制(C&C)服务器,并下载两个互联网节点域名。如果用户在第一个节点提供登录凭证,那么跳转至第二个节点时将通过 C&C 服务器发送一个包含 SMTP 服务器地址命令,用于访问用户登录凭据、电子邮件地址和邮件内容。此外,相关数据显示,每台受感染的设备平均每天可以发送 400 封这样的钓鱼邮件。 研究人员表示,虽然尚不清楚受感染设备总计数量,也不了解黑客真正的攻击意图,但目前巴西、美国、俄罗斯、印度等国普遍受到影响。现今,由于物联网攻击活动一直都是网络犯罪分子的目标焦点,因此研究人员推测,黑客在未来还将继续扩展 Linux 木马所执行的功能范围,从而肆意开展 DDoS 攻击活动。 原作者:Pierluigi Paganini,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接

僵尸网络 WireX:黑客利用数十万 Android 设备发动 DDoS 攻击

据外媒报道,黑客继去年利用大量不安全物联网设备发动 DDoS 攻击后开始转向另一种极其流行且安全的设备展开新一轮攻击,即运行 Google Android 系统的智能手机与平板设备。 调查显示,攻击者利用官方应用商店传播的恶意程序创建 Android 僵尸网络发动 DDoS 攻击。据悉,被称为 WireX 的僵尸网络在其高峰时最高控制 100 多个国家逾 12 万 IP 地址。然而,当前各企业很难抵御这种 IP 地址遍布全球的 DDoS 攻击。 研究人员表示,他们已在 Google 官方应用商店中发现 300 余款应用软件与僵尸网络 WireX 有关,其中多数应用主要提供铃声、视频或存储管理器等服务。目前,Google 经证实后紧急下架部分应用以减少目标设备沦为 DDoS 攻击的动力来源。据悉,这些应用程序多数由俄罗斯、中国与其他亚洲国家的用户下载,尽管 WireX 僵尸网络当前仅在小规模攻击活动中处于活跃状态。 幸运的是,在该 Android 僵尸网络膨胀到难以控制前,包括 Cloudflare、Akamai、Flashpoint、Google、Dyn 等在内的科技公司已积极采取行动并对其进行联合打击。此外,如果用户设备运行的是 Android 操作系统的最新版本,那么该系统中包含的 Google Play Protect 功能将会自动移除已下载的恶意 WireX 应用。目前,研究人员建议用户从 Google 官方商店下载应用程序并始终在移动设备上保持全方位杀毒软件,以便在感染设备前阻止恶意程序下载。 本文根据 thehackernews 与 solidot奇客 联合翻译整理,编辑:青楚 转载请注明“转自 HackerNews.cc ” 并附上原文链接。