有關(guān)RapperBot的攻擊情況：一款基于Mirai的蠕蟲，通過“智能暴力破解”來攻擊物聯(lián)網(wǎng)設(shè)備
網(wǎng)絡(luò)罪犯一直在不斷發(fā)展他們的技能和工具，尋找入侵個(gè)人和公司的新方法。卡巴斯基在其最近的 Securelist 博客文章中探討了攻擊者使用的不常見的感染方法。
除了其他發(fā)現(xiàn)之外，研究人員還發(fā)現(xiàn)這種攻擊方法使用 RapperBot，這是一種基于 Mirai 的蠕蟲，可以感染物聯(lián)網(wǎng)設(shè)備，最終目標(biāo)是對非 HTTP 目標(biāo)發(fā)起 DDoS 攻擊。博文中提到的其他感染方法包括信息竊取器 Rhadamanthys 和 CUEMiner，它們基于開源惡意軟件，可能通過 BT 下載和 One Drive 進(jìn)行分發(fā)。
Rapperbot 于 2022 年 6 月首次被發(fā)現(xiàn)，當(dāng)時(shí)它被用于攻擊安全 Shell 協(xié)議（SSH），與使用純文本形式傳輸數(shù)據(jù)的 Telnet 服務(wù)相比，這種協(xié)議被認(rèn)為是一種安全的文件通信方式，因?yàn)槠涫褂昧思用芡ㄐ拧?/span>
然而，最新版的 RapperBot 移除了 SSH 功能，現(xiàn)在只專注于 Telnet，并取得了相當(dāng)大的成功。2022 年第四季度，RapperBot 試圖感染的用戶數(shù)量達(dá)到 112,000，這些用戶來自 2,000 多個(gè)獨(dú)特的 IP 地址。
RapperBot 與其他蠕蟲的不同之處在于其“智能”的暴力破解方式：它檢查提示并根據(jù)提示選擇適當(dāng)?shù)膽{證。這種方法顯著加快了暴力破解過程，因?yàn)樗槐貦z索大量的憑證列表。2022 年 12 月，被 RapperBot 感染的設(shè)備數(shù)量最多的前三個(gè)國家/地區(qū)是中國臺灣、韓國和美國。
卡巴斯基博客文章中描述的另一個(gè)新惡意軟件家族是 CUEMiner，它基于 2021 年首次出現(xiàn)在 Github 的一款開源惡意軟件。最新版本是在 2022 年 10 月發(fā)現(xiàn)的，它包括一個(gè)挖礦軟件本身和一個(gè)所謂的“監(jiān)視者”。這個(gè)程序在受害者的電腦上啟動一個(gè)負(fù)載較高的進(jìn)程（如電子游戲）時(shí)監(jiān)控系統(tǒng)。
在調(diào)查 CUEMiner 期間，卡巴斯基注意到兩種傳播這種惡意軟件的方法。第一種是通過 BT 下載到的包含木馬的破解軟件。另一種方法是通過從 OneDrive 共享網(wǎng)絡(luò)下載的包含木馬的破解軟件。
由于在發(fā)布時(shí)沒有可用的直接鏈接，因此尚不清楚受害者是如何被引誘下載這些破解的軟件包的。然而，現(xiàn)在的許多破解網(wǎng)站并不提供立即下載。相反，他們將用戶指向 Discord 服務(wù)器頻道進(jìn)行進(jìn)一步討論。這表明有某種形式的人際互動和社會工程。
這種“開源”惡意軟件在業(yè)余或不熟練的網(wǎng)絡(luò)罪犯中非常流行，因?yàn)樗试S他們進(jìn)行大規(guī)模的攻擊活動——Cueminer 的受害者目前遍布世界各地，其中一些在企業(yè)網(wǎng)絡(luò)中。在卡巴斯基安全網(wǎng)絡(luò)（KSN）的遙測系統(tǒng)中，受害者人數(shù)最多的國家是巴西、印度和土耳其。
最后，卡巴斯基的博文提供了有關(guān) Rhadamanthys 的最新信息。Rhadamanthys 是一種信息竊取器，使用谷歌廣告作為分發(fā)和交付惡意軟件的手段。
2023 年 3 月，Securelist 已經(jīng)對其進(jìn)行了專題報(bào)道，但自那以后，人們發(fā)現(xiàn) Rhadamanthys 與 Hidden Bee Miner 有很強(qiáng)的聯(lián)系，后者直接用于加密貨幣挖礦。這兩個(gè)樣本都使用圖像將有效負(fù)載隱藏在內(nèi)部，并具有類似的 shellcode 代碼用于引導(dǎo)。此外，兩者都使用“內(nèi)存中虛擬文件系統(tǒng)”，并利用 Lua 語言來加載插件和模塊。
Jornt van der Wiel
卡巴斯基全球研究與分析團(tuán)隊(duì)(GEeAT)高級安全研究員
“開源惡意軟件、代碼重新利用和貼牌被網(wǎng)絡(luò)罪犯廣泛使用。這意味著即使是技能較低的攻擊者現(xiàn)在也可以執(zhí)行大規(guī)模的攻擊活動并對全球的受害者實(shí)施攻擊。此外，惡意廣告正在成為一個(gè)熱門趨勢，在惡意軟件組織中的需求已經(jīng)很高。為了避免此類攻擊，保護(hù)你的公司不受侵害，重要的是要了解網(wǎng)絡(luò)安全方面的情況，并使用最新的保護(hù)工具?！?/span>
要了解更多有關(guān)網(wǎng)絡(luò)罪犯使用的最新感染手段和技術(shù)：
為了保護(hù)自己以及企業(yè)免受勒索軟件的攻擊，請考慮遵循卡巴斯基提出的以下規(guī)則：
除非有必要，否則不要將遠(yuǎn)程桌面服務(wù)（如 RDP）暴露在公共網(wǎng)絡(luò)上，而且一定要為其使用高強(qiáng)度密碼。
及時(shí)為商業(yè) VPN 解決方案安裝可用的補(bǔ)丁，為遠(yuǎn)程辦公人員提供訪問，并作為網(wǎng)絡(luò)中的網(wǎng)關(guān)。
將防御策略重點(diǎn)放在偵查橫向移動和數(shù)據(jù)向互聯(lián)網(wǎng)泄露上。特別注意外發(fā)流量，檢測網(wǎng)絡(luò)罪犯的連接。
定期備份數(shù)據(jù)。確保在遇到緊急情況時(shí)，能夠快速訪問備份數(shù)據(jù)。
使用諸如卡巴斯基端點(diǎn)檢測和響應(yīng)專家以及卡巴斯基管理檢測和響應(yīng)服務(wù)等解決方案，在攻擊者實(shí)現(xiàn)最終目標(biāo)之前，在攻擊的早期階段識別和阻止攻擊。
使用最新的威脅情報(bào)信息，隨時(shí)了解威脅行為者使用的實(shí)際 TTP（技術(shù)、工具和程序）?？ò退够{情報(bào)門戶網(wǎng)站是卡巴斯基威脅情報(bào)的一站式訪問點(diǎn)，提供卡巴斯基超過25年來收集的網(wǎng)絡(luò)攻擊數(shù)據(jù)以及見解。
為了幫助企業(yè)在這個(gè)動蕩的時(shí)代實(shí)現(xiàn)有效的防御，卡巴斯基宣布免費(fèi)提供獨(dú)立的、不斷更新的、來自全球的關(guān)于正在進(jìn)行的網(wǎng)絡(luò)攻擊和威脅的信息。