【殭屍網絡】Ebury一次攻擊增兵7萬 感染40萬部Linux伺服器
![Topic report3](https://www.wepro180.com/wp-content/uploads/2024/05/WEB_240520_Ebury.jpg)
ESET 專家與荷蘭國家高科技犯罪小組(NHTCU)合作進行調查,發現自 2009 年以來一隻名為 Ebury 的殭屍網絡已經感染了全球近 40 萬部 Linux 伺服器,而且在去年一次攻擊中,更一口氣增兵 7 萬,跟黑客採用的攻擊策略有極大關係。由於他們早前取得 Ebury 黑客集團使用的備份伺服器,因而有機會分析集團過去 15 年的演變歷史及攻擊策略。
最初通過憑證填充攻擊
專家認為對方最初的入侵是通過憑證填充攻擊,即是使用竊取的憑證登錄伺服器,之後惡意軟件就會從 wtmp 和 known_hosts 文件中竊取 SSH 連接列表及身分驗證密鑰,再利用這些密鑰嘗試登錄其他系統。如果 known_hosts 文件包含散列(hash)訊息,黑客還會嘗試對其內容進行暴力破解。
從獲得的數據顯示,Ebury 黑客收集到的 480 萬個 known_hosts 條目中,約有 200 萬個條目使用了散列,而當中約有 40% 便成功以猜測或暴力破解奪取。另外,黑客還可能會利用伺服器上運行中的軟件已知漏洞,進一步提升訪問權限。
進入下一階段,黑客會使用地址解析協議(ARP)攔截目標伺服器上的 SSH 流量,一旦用家通過 SSH 登錄受攻擊的伺服器,黑客就能捕獲登錄憑證。過往黑客入侵受感染的伺服器後,主要是攔截及竊取用家在電商平台輸入的信用卡訊息、重定向網絡流量以從廣告計劃中賺錢、利用被感染的伺服器發送垃圾電郵,以及出售捕獲的憑據。而在近年加密貨幣的熱潮下,黑客又會使用憑證自動清空受害者的電子錢包。
現時仍有 11 萬部裝置受控制
專家又指出,黑客集團會通過 Vidar Stealer 偽造或盜用身份,有時甚至冒用其他網絡犯罪分子的綽號來誤導執法部門。去到 2023 年底,ESET 專家還觀察到該惡意軟件引入了新的混淆技術和新的域名生成算法(DGA),使殭屍網絡能夠躲避檢測並提高其抵御攔截的能力。
ESET 強調 Ebury 的生命力極頑強,雖然執法部門清除受感染伺服器的行動每天都在全球發生,但現時仍有約 11 萬部裝置受到控制。專家解釋,從最近 Ebury 的攻擊可見,對方傾向攻擊託管服務供應商,並對租用其虛擬伺服器的客戶實施供應鏈攻擊,以去年對方一次攻擊為例,他們成功感染了一間大型託管服務供應商,因而一口氣為殭屍大軍增兵 7 萬。由於殭屍網絡可用於發動 DDoS、賺取廣告費,因此依然是黑客最常用的攻擊之一,用家必須小心防範。
資料來源:https://www.securityweek.com/400000-linux-servers-hit-by-ebury-botnet/
唔想成為下一個騙案受害人?