黑客通过Rootkit恶意软件感染超5万台MS-SQL和PHPMyAdmin服务器

2022-01-05 0 525

Guardicore Labs 的安全研究人员发布了一份报告,该报告关于在全球范围内攻击 Windows MS-SQLPHPMyAdmin 服务器的黑客活动,代号“Nansh0u”,且这一攻击源头是中国黑客。报告称,包括属于医疗保健、电信、媒体和 IT 公司等在内的 50,000 多台服务器受到了攻击,一旦受到攻击,目标服务器就会被恶意负载感染。黑客还安装了一个复杂的内核模式 rootkit 来防止恶意软件被终止。

这并非典型的加密攻击,它使用 APT (Advanced Persistent Threat,高级持续性威胁,本质是针对性攻击)中经常出现的技术,例如假证书和特权升级漏洞。

该攻击活动于 4 月初被首次发现,但可以追溯至 2 月 26 日,每天有超过 700 个新的受害者。研究人员发现已存在20 多种不同的有效恶意负载,这期间每周至少会有一个新的恶意负载被创建,受感染的计算机数量在一个月内就已翻倍。

黑客通过Rootkit恶意软件感染超5万台MS-SQL和PHPMyAdmin服务器

在使用管理权限成功登录身份验证后,攻击者在受感染系统上执行一系列 MS-SQL 命令,以从远程文件服务器下载恶意负载,并以 SYSTEM 权限运行它。

在后台,有效负载利用已知的权限提升漏洞(CVE-2014-4113)来获取受感染系统的 SYSTEM 权限。

然后,有效负载在受感染的服务器上安装加密货币挖掘恶意软件以挖掘 TurtleCoin 加密货币。

黑客通过Rootkit恶意软件感染超5万台MS-SQL和PHPMyAdmin服务器

研究人员还发布了一份完整的IoC(危害指标)列表和一个免费的基于 PowerShell 的脚本,Windows管理员可以使用它来检查他们的系统是否被感染。

由于攻击依赖于 MS-SQL 和 PHPMyAdmin 服务器的弱用户名和密码组合,因此,强烈建议管理员为账户设置一个复杂密码。

调查报告完整版:https://www.guardicore.com/2019/05/nansh0u-campaign-hackers-arsenal-grows-stronger/

收藏 (0) 打赏

感谢您的支持,我会继续努力的!

打开微信/支付宝扫一扫,即可进行扫码打赏哦,分享从这里开始,精彩与您同在
点赞 (0)

【声明】:本评测不参与任何交易,也非中介,仅记录个人感兴趣的主机测评结果和优惠活动,内容均不作直接、间接、法定、约定的保证。访问本博客请务必遵守有关互联网的相关法律、规定与规则。一旦您访问本博客,即表示您已经知晓并接受了此声明通告

木沐主机评测 网站游戏教程 黑客通过Rootkit恶意软件感染超5万台MS-SQL和PHPMyAdmin服务器 https://www.mumupc.com/archives/552.html

常见问题

相关文章

官方客服团队

为您解决烦忧 - 24小时在线 专业服务