“驱动人生定向攻击”事件未完待续,攻击者敛财心切

2019-01-10 11:26 稿源:用户投稿  0条评论

   2018 年 12 月 14 日下午, 360 安全大脑监测到一批携带永恒之蓝漏洞攻击组件的下载器木马,该类木马主要通过“人生日历”等驱动人生系列产品升级组件下发。 14 日晚间, 360 公司向厂商通报了相关情况,该下发活动已停止。截止目前,该木马累计攻击计算机超过 6 万台计算机(仅包括通过升级组件受到攻击的情况,不含利用漏洞的二次攻击情况, 360 安全卫士带有永恒之蓝漏洞免疫功能)。

1.jpg

  半个月前,攻击者通过域名 dl.haqo.net 下发木马;时隔半个月, 360 安全大脑监测到,攻击者掌握大量肉鸡后,通过新的域名d.haqo.net 再次下发挖矿木马。而本次挖矿木马新增下发通道域名 d.haqo.net ,启用解析的时间是2018 年 12 月 29 日 ,距离最初爆发时的2018 年 12 月 14 日 已经过去半个月。被安全厂商联合绞杀的半个月后还启用新的恶意域名,说明黑客团伙足够谨慎,也早有预谋。

  从黑客服务器下发的挖矿木马分析来看,挖矿木马由开源挖矿程序 XMRig 修改编译而来。挖矿木马中内置了 3 个以前没被曝光过的矿池域名 loop.haqo.net / loop2.haqo.net / loop.abbny.com ,挖矿木马启动之后,会与矿池域名的 TCP:443 端口通信。目前 3 个矿池地址,前两个已经可以解析,最后一个 loop.abbny.com 还没有配置解析的 IP 地址,算是备用域名。这也为未来攻击行为埋下伏笔:如果前两个矿池域名都被安全厂商拦截后无法继续使用了,攻击者可以启用这一个矿池域名,使挖矿工作还能继续进行。所以广大用户仍需提高警惕,及时安装杀软或升级病毒库,清理杀毒。由此安全专家可以推测此事件背后恶意团伙的套路:先入侵“驱动人生”的服务器,通过“驱动人生”的升级通道下发“永恒之蓝”攻击工具来扩散感染。最终,再向已经感染木马的受害主机下发挖矿木马来挖矿牟利。

   360 安全专家提醒:上次 6 万台被“驱动人生”升级感染的机器如果不及时做杀毒清理用户,这次有可能中招,所以专家建议用户使用 360 安全卫士杀毒清理,提高安全系数 360 安全卫士保持开启状态,能及时防范,从而有效控制木马病毒的大规模爆发。同时针对该木马的攻击态势, 360 安全专家请广大用户不要恐慌:

  1.  做好相关重要数据备份工作。

  2.  加强系统安全工作,及时升级软件与安装操作系统补丁。

  3.  服务器暂时关闭不必要的端口(如135、139、445)

  4.  360 安全卫士已在第一时间对该木马进行了拦截查杀,此外 360 安全卫士具备的永恒之蓝漏洞免疫功能,可保护用户免遭该木马攻击,建议大家及时安装!

本文由站长之家用户投稿,未经站长之家同意,严禁转载。如广大用户朋友,发现稿件存在不实报道,欢迎读者反馈、纠正、举报问题(反馈入口)。

免责声明:本文为用户投稿的文章,站长之家发布此文仅为传递信息,不代表站长之家赞同其观点,不对对内容真实性负责,仅供用户参考之用,不构成任何投资、使用建议。请读者自行核实真实性,以及可能存在的风险,任何后果均由读者自行承担。

有好的文章希望站长之家帮助分享推广,猛戳这里我要投稿

相关文章

相关热点

查看更多