腾讯御见威胁情报中心检测到挖矿木马家族Lcy2Miner感染量上升,工程师对该病的感染进行回溯调查。结果发现,有攻击者搭建多个HFS服务器提供木马下载,并在其服务器web页面构造IE漏洞攻击代码。当存在漏洞的电脑被诱访问攻击网页时,会触发漏洞下载大灰狼远程控制木马。接着由远控木马下载门罗币挖矿木马和“永恒之蓝”漏洞攻击模块,然后利用“永恒之蓝”漏洞攻击工具在企业内网攻击传播,最终攻击者通过组建僵尸网络挖矿牟利。截止目前该团伙已通过挖矿获得门罗币147个,市值约6.5万元人民币。数据显示,该团伙控制的Lcy2Miner挖矿木马已感染超过2万台电脑,影响众多行业,互联网服务、批发零售业、科技服务业位居前三。从病感染的地区分布来看,Lcy2Miner挖矿木马在全国大部分地区均有感染,受害最严重的地区为北京、广东、河南等地。
腾讯御见:“8220”挖矿木马入侵服务器挖矿,可发起DDoS攻击:腾讯安全威胁情报中心检测到“8220”挖矿木马变种攻击。“8220”挖矿团伙擅长利用WebLogic、JBoss反序列化漏洞,Redis、Hadoop未授权访问漏洞等Web漏洞攻击服务器挖矿。此外,“8220”挖矿木马团伙的攻击目标包括Windows和Linux服务器,在其使用的FTP服务器上,可以发现针对不同操作系统的攻击模块。该团伙释放挖矿木马时,会检查服务器是否有其他挖矿木马运行,将所有竞争挖矿木马进程结束,以独占服务器资源。根据代码的相似性、C2关联性、挖矿时使用的相同门罗币钱包以及配置文件解密方法、相似的FTP服务器等因素,腾讯安全专家认为,2020年初出现的StartMiner与“8220”挖矿木马属于同一团伙。该团伙当前版本恶意程序与C2服务器的通信已不再使用“8220”端口,根据近期捕获到的样本对其攻击偏好使用的文件名进行总结,发现其具有使用多种脚本包括VBS、PHP、Python、Powershell、Shell进行组合攻击的特点。[2020/5/9]
声音 | 腾讯御见:恶意挖矿程序“快Go矿工”更新,已获利门罗币47个:腾讯安全威胁情报中心检测到“快Go矿工”更新,该团伙本次更新利用MSSQL弱口令爆破攻击的方式进行传播。“快Go矿工”最新变种将挖矿程序伪装成系统进程WinInit.exe,截止目前已挖矿获得门罗币47个,市值人民币2万余元。同时,病在攻陷机器上植入的gh0st远控木马,具有搜集信息、上传下载文件、键盘记录、执行任意程序等多种功能,被攻陷的电脑还会面临机密信息泄露的风险。据腾讯威胁情报中心统计数据,“快Go矿工”(KuaiGoMiner)变种已攻击上万台电脑,受害最严重地区为江苏、山东和广东。[2020/2/19]
动态 | 腾讯御见:勒索软件攻击了22个德克萨斯城镇:据腾讯御见威胁情报中心称,休斯顿当局表示,德克萨斯州22个小城镇的计算机系统遭到勒索病攻击。官方发言人拒绝提供进一步的细节或公布受影响城镇的名称,因为“可能会有进一步的攻击”。[2019/8/23]
郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。