發(fā)現新僵尸網絡 150萬臺RDP服務器危險了
對于僵尸網絡，想必各位都略有耳聞，攻擊者通過各種途徑傳播僵尸程序感染互聯網上的大量主機，被感染的主機將通過一個控制信道接收攻擊者的指令，組成一個僵尸網絡。之所以用“僵尸網絡”這個名字，也是更形象地讓大家知道這類攻擊的特點，即大量計算機在不知不覺中如同僵尸群一樣被人驅趕和指揮著，成為被人利用的一種工具。
近日，據外媒報道稱，一個被稱為GoldBrute的新僵尸網絡，掃描隨機IP地址來檢測暴露了RDP的Windows機器，有150多萬臺RDP服務器易受攻擊。與其他僵尸網絡一樣，GoldBrute并沒有使用弱口令，也沒有利用數據泄露中的重復密碼，而是使用自己的用戶名和密碼列表來發(fā)起蠻力攻擊。
據了解，來自Morphus實驗室的安全研究人員檢測到正在進行的惡意攻擊，該攻擊由一臺C＆C服務器控制，而僵尸網絡之間的通信交流則通過端口8333使用對稱加密算法AES進行。
至于具體的攻擊方式，首先bot通過掃描互聯網找到那些暴露了遠程桌面協議服務的Windows主機，一旦找到主機，便會向C＆C服務器報告，如果報告了80個主機，那么C＆C服務器將分配一個目標來發(fā)動暴力攻擊。需要注意的是，每個bot只對目標嘗試一個用戶名和密碼，以避免被檢測到，這可能是一種安全工具的策略，因為每次身份驗證嘗試都來自不同的地址。
一旦攻擊成功，它將下載zip archive，解壓縮后運行一個名為“bitcoin．dll．”的jar文件；之后，新的bot開始掃描互聯網上開放的RDP服務器，一旦發(fā)現新的IP，它將繼續(xù)報告給C＆C服務器，當達到80個RDP服務器后，C＆C服務器將為新bot分配一組目標。在暴力攻擊階段，bot將不斷從C＆C服務器獲得用戶名和密碼組合。
與此同時，安全研究人員在實驗室環(huán)境下測試了bot，6小時后從C2服務器接收到210萬個IP地址，其中有1596571個是唯一的。據了解，GoldBrute僵尸網絡的目標是全球暴露在互聯網上的RDP機器。
分享
請輸入評論內容...
請輸入評論/評論長度6~500個字
圖片新聞
