全球超50000台办事器遭冲击，它说是中国黑客干的

据 Bleeping Computer 美国时间 5 月 29 日报道，近日，Guardicore 收集平安实验室的研究人员发布了一份具体的申报，内容涉及全球局限内冲击 Windows MS-SQL 和 PHPMyAdmin 办事器的普遍冲击运动。 [转载出处：www.ii77.com]

查询发现，属于医疗、保健、电信、媒体和 IT 范畴公司的跨越 50000 台办事器被复杂冲击对象损坏，时代天天有跨越 700 名新受害者显现。

[转载出处：www.ii77.com]

最让人迷惑的是，它们感觉，这事是中国黑客干的。

Nansh0u冲击运动

据报道，此次动作仅为 Nansh0u 冲击运动的一部门——所谓的 Nansh0u 是对原始加密泉币挖掘冲击的复杂化把持。

截止今朝，其背后的黑客组织已经传染了全球近 50000 台办事器。研究人员称 ， Nansh0u 冲击运动与常规情形下的加密劫持行为分歧，它使用了常见于高级持续威胁（ APT ）中的手艺，如假证书和特权升级破绽。

冲击细节剖析

Guardicore 针对此次发现的冲击行为进行深入研究，并在申报中具体阐述了其冲击道理：

为了损坏 Windows MS-SQL 和 PHPMyAdmin 办事器，黑客使用了一系列对象，包罗端口扫描法式， MS-SQL 暴力破解对象和长途执行模块。端口扫描法式许可他们经由搜检默认的 MS-SQL 端口是否打开来找到 MS-SQL 办事器，这些办事器将主动送入爆破对象。

一旦办事器被攻破， Nansh0u 运动执行者将使用 MS-SQL 剧本传染 20 个分歧的恶意负载版本，该剧本将在受传染的较量机上下载并启动有效负载。

冲击流程

随后，恶意法式会使用 CVE-2014-4113 跟踪的权限提拔破绽行使受传染办事器上的 SYSTEM 权限运行有效负载，每个已删除和执行的有效负载均被设计为执行多个把持的包装器。

正如 Guardicore 的研究人员在剖析经由 Guardicore 全球传感器收集（ GGSN ）和冲击办事器收集的样本后发现的，包装器将：

•执行加密泉币挖矿;

•经由编写..表运行键来建立持久性;

•使用内核模式 rootkit 珍爱 miner 历程免于完结;

•使用看门狗机制确保挖矿的一连执行。

在受传染的办事器上丢弃大量有效负载的同时也丢弃了一个随机定名的 VMProtect-obfuscated 内核模式驱动法式，这将激发大多数AV引擎的检测法式启动。

为了不被恶意软件查杀引擎“协调”掉，它还包含了rootkit 功能，可用于与物理硬件设备连结通信以及点窜此特定恶意软件未使用的内部 Windows 历程对象，以此伪装恶意法式。

内核模式驱动法式数字签名

此外，内核模式驱动法式确保丢弃的恶意软件不会被完结，该法式几乎支撑从 Windows 7 到 Windows 10 的每个版本的 Windows体统 ，个中甚至也包罗测试版。

报道称， Guardicore Labs 团队为此加密劫持运动供应了一个周全的 IoC 列表，个中包含了冲击时代使用的 IP 地址以及挖掘池域的具体信息。

经由上述冲击过程，黑客可获取易受冲击办事器的 IP 地址，端口，用户名和暗码，黑客能够窜改办事器设置，并在受害系统上建立 Visual-Basic 剧本文件，以从冲击者的办事器下载恶意文件。

值得一提的是，该冲击法式伪造并签署了由Verisign颁布给一家名为“杭州Hootian收集手艺有限公司”的证书。Guardicore称，实际上该证书很早之前就已经处于撤销状况了。

“此次冲击运动再次证实，通俗暗码仍然是目前冲击流程中最微弱的环节。看到成千上万的办事器因简洁的暴力冲击而受到损害，我们强烈建议公司使用壮大的凭证以及收集分段来珍爱其资产解决方案，“ Guardicore 实验室团队总结道。

它们说：或中国黑客所为

Guardicore 称， Nansh0u 冲击运动的追踪过程中，他们对其冲击对象及手法进行了深入研究，并从中揣摩出该运动的幕后执行者很或者是中国黑客。

Guardicore 实验室的研究人员称，他们于 2 月 26 日检测到该冲击，进一步骤查显露， 4 月份的三次雷同冲击的所有泉源 IP 地址都来自南非，它们共享沟通的冲击过程并使用沟通的冲击方式。受害者大多位于中国、美国和印度。

而凭据多条线索， Guardicore Labs 团队最终认为该运动是中国黑客所为，其原因如下：

•冲击者选择使用基于中文的编程说话 EPL 编写对象。

•为此告白系列布置的某些文件办事器是中文的 HFS 。

•办事器上的很多日志文件和二进制文件都包含中文字符串，例如包含已损坏机械的日志中的究竟 - 去反复（“ duplicates removed ”），或许以启动端口扫描的剧本名称中的起头（“ start ”）。

参考起原：Bleeping Computer