研究人员近期发现一起利用shell脚本来执行恶意活动的攻击活动。基于之前的攻击活动,这些恶意脚本主要是用来部署加密货币挖矿机。但是最近的攻击活动中,除了用于加密货币挖矿机下载器外,还有其他的目的。从样本中使用的C2 URL、字符串、加密密钥、语言,研究人员推断出最新的攻击活动来自于TeamTNT。
该恶意shell 脚本是用bash语言开发的。与类似的攻击活动相比,样本中代码风格很好,是根据描述性的函数名来组织的:
图 1. 表明函数功能的代码段
Shell脚本调用的第一个函数是用于准备环境,确保下一阶段所需的资源、攻击、计算机电量等。此外,还会检查安全解决方案的存在。
Shell脚本还会下载一些用于下一步攻击的灰色工具。这些工具会进行网络扫描和映射,用于检索和映射有漏洞的容器API。
环境设置好之后,shell脚本会检索敏感信息、获取这些信息的副本,然后上传到C2服务器。
图 2. 窃取AWS凭证的代码段
在之前发现的窃取AWS凭证的样本中,只会检查是否存在机密性文件,并上传。在新样本中,开发者新加入了2个路径。一个是请求AWS 元数据服务,并尝试从中获取凭证。另一个是检查AWS凭证的环境变量,如果存在,就上传到C2服务器。此外,新样本不仅仅窃取AWS凭证,还会窃取Docker API凭证。
图 3. 窃取Docker API凭证的代码段
在窃取凭证和部署加密货币挖矿机中间,脚本还还释放另一个base64编码的样本。这是为了在系统上创建sudo权限的用户,并使用SSH-RSA密钥来确保可以连接到受感染的机器并维持访问。
图 4. 表明用户创建的代码段
然后下载、部署和执行加密货币挖矿机。该攻击活动中最近加入的最后一步是部署反向shell。
截止目前,该攻击活动主要攻击容器平台。最近创建的患有恶意样本的容器镜像下载量已经超过2000。
图 5. 含有恶意样本的容器镜像截图
总结
随着加密货币恶意如那件变种的数量快速增长,部署挖矿攻击的攻击者已经不局限于进行加密货币挖矿。目前,恶意脚本不仅用来窃取凭证这样的敏感信息,还有其他的功能,比如准备环境来确保有足够的资源来进行挖矿,而且还可以静默进行来确保尽可能长时间的挖矿,此外,还会留下后门以被日后远程连接到目标。由于攻击开始关注Docker凭证,使用API认证已经不足以确保安全。系统管理员来确保此类API不会暴露,而且只让需要访问的用户访问。
COVID-19全球大流行在2020年对我们所有人产生了改变生活的影响,其中包括对物理...
想象一下这样的场景,我们每个人的手机上有数字货币钱包,即使手机断网,两个手...
周三晚间,比特币(BTC)价格有史以来首次突破29000美元,在当天早些时候创下历史...
在1月28日凌晨,金融市场将会迎来美联储在2021年的首次利率决议,而这对于比特币...
比特币和普通的货币相比有什么不同,它是一种好的货币形式吗? 比特币的出现让人...
自Gartner在2019年8月的一份报告中首次提出这一术语以来,安全访问服务边缘(SASE...
比特币的疯狂已经让任何形容词都黯然失色。在隔夜重回5万美元之上以后,比特币继...
如果你我手机上都有DC/EP的数字钱包,那么连网络都不需要,只要手机有电,两个手...
13、29,描绘目前我国区块链+银行产业大致轮廓的两个关键数字。 自2019年2月15日...
区块链和工业互联网正在加速融合。在不久前召开的2020工业互联网大会上,中国信...