最新 Smominru 僵尸网络变种揭密

数据揭示,Smominru感染了全球超过4,900个网络中的约9万台主机,感染速率4,700台/天。很多受害网络中都有数十台机器被黑。受感染计算机数量最多的国家是中国、中国台湾地区、俄罗斯、巴西和美国。据Guardicore介绍,Smominru攻击不针对特定公司或行业,但美国受害者包含高等教育机构、医疗企业,甚至网络安全公司。

研究人员触及Smominru命令与控制(C2)服务器,获取被黑设备信息,探索攻击规模。

最新 Smominru 僵尸网络变种揭密

最新Smominru迭代变种,一款带蠕虫功能的加密货币挖矿僵尸网络,于今年8月席卷全球4,900家企业网络。多数受影响主机为运行Windows Server 2008或Windows 7的小型服务器。

Smominru是可追溯至2017年的一个僵尸网络,其变种也会被称为Hexmen、Mykings等。这款僵尸网络以投送的攻击载荷之多而闻名,包括凭证窃取脚本、后门、木马和一款加密货币挖矿机。

Carbon Black在今年8月记录了Smominru的最新变种,称该变种运用了多种传播手段,包括2017年肆虐全球的NotPetya和WannaCry等勒索软件蠕虫用过的永恒之蓝(EternalBlue)漏洞利用程序。该僵尸网络还采用暴力破解和凭证填充攻击各类协议,比如MS-SQL、RDP和Telnet,目的是获得新机器的访问权。

最近,安全公司Guardicore的研究人员得以访问Smominru的一台核心C2服务器。该服务器上存有受害者信息和凭证,使研究人员能够收集有关被黑主机及网络的信息,评估该僵尸网络的影响。

数据揭示,Smominru感染了全球超过4,900个网络中的约9万台主机,感染速率4,700台/天。很多受害网络中都有数十台机器被黑。

受感染计算机数量最多的国家是中国、中国台湾地区、俄罗斯、巴西和美国。据Guardicore介绍,Smominru攻击不针对特定公司或行业,但美国受害者包含高等教育机构、医疗企业,甚至网络安全公司。

超半数(55%)受感染主机运行的是Windows Server 2008,约1/3(30%)运行的是Windows 7。这就比较有趣了,因为这些版本的Windows系统仍受微软支持,还在接收安全更新。

既然用了永恒之蓝漏洞利用程序,一般人都会认为运行老版本或不受支持版本Windows的主机更容易受影响。然而,到底多少系统是通过永恒之蓝入侵的,又有多少主机是因弱凭证而被感染,如今仍未可知。

未打补丁的系统送出助攻

9月18日发布的报告中,Guardicore的研究人员写道:未打补丁的系统使攻击行动感染了全球无数主机,并在内部网络中扩散。因此,操作系统很有必要及时跟进当前可用软件更新。

然而,打补丁说起来容易做起来难。所以,数据中心或公司内部多应用一些安全措施就非常重要了。想要维持良好的安全态势,最好用网络微分隔检测潜在的恶意互联网流量,以及限制暴露在互联网上的服务器。

另外,受害主机中有1/4都被Smominru反复感染,反映出很多网络的糟糕安全状态。这表明很多企业试图清除感染,但没能恰当地截断攻击途径,没从根源上解决问题。

多数遭感染主机的CPU核心数量在一到四个之间,属于小型服务器行列。但其中200多台拥有八个及以上核心,有一台机器甚至有32个之多。

很不幸,这说明很多公司虽然花钱购置昂贵硬件,却没采取基本的安全措施,比如修复操作系统。

多个攻击载荷的严重感染

由于该僵尸网络具备蠕虫功能,任何感染了Smominru的主机都可能对企业网络造成严重威胁,而且,还不仅仅是加密货币挖矿。该威胁可部署大量攻击载荷,并在受感染系统上创建多个后门以维持长期驻留,包括新的管理员用户、计划任务、Windows管理规范(WMI)对象、开机自启服务和主引导记录(MBR)rootkit。

根据Guardicore的分析,Smominru可下载并执行近20个不同脚本和二进制攻击载荷。该公司公布了详细的入侵指标(IoC)列表,包括文件散列值、服务器IP地址、用户名、注册表键值等,还发布了用以检测受感染主机的PowerShell脚本。

本文来自信息化观察者网,转载请注明出处。