در یک حمله سایبری کریپتوجکینگ؛

50 هزار سرور MSSQL و PHPMyAdmin به بدافزار استخراج رمز‌ارز آلوده شد

تاریخ انتشار

شنبه ۱۸ خرداد ۱۳۹۸ ساعت ۲۰:۴۸

50 هزار سرور MSSQL و PHPMyAdmin به بدافزار استخراج رمز‌ارز آلوده شد

آی‌تی‌من- به گزارش مرکز افتا، به نقل از BleepingComputer، در این عملیات سایبری با عنوان Nansh0u سرورهای مستقر در نقاط مختلف جهان و متعلق به صنایع مختلف هدف قرار گرفته است که بیش از ۷۰۰ قربانی جدید به طور روزانه به آمار آن افزوده می‌شود.

این عملیات در اوایل ماه آوریل شناسایی شد و آغاز آن به ماه فوریه برمی‌گردد.

پژوهشگران هنگام بررسی حملات، ۲۰ نسخه مختلف payload مخرب، ۵ سرور حمله و ۶ سرور اتصال مجدد را شناسایی کرده اند.

به منظور نفوذ به سرورهای Windows MS-SQL و PHPMyAdmin، مهاجمین از مجموعه‌ای از ابزارها از جمله یک اسکنر پورت، یک ابزار جستجوی فراگیر (brute-force) برای MS-SQL و یک ماژول اجرای از راه دور استفاده می‌کنند. ابزار اسکنر پورت، سرورهای MS-SQL را از طریق بررسی پورت‌های باز MS-SQL شناسایی می‌کند و سپس ابزار جستجوی فراگیر با بهره‌گیری از هزاران نام‌کاربری و گذرواژه متداول و پر استفاده، برای وارد شدن به سرور تلاش می‌کند.

_{چگونگی روند حمله}

پس از نفوذ به سرور، اپراتورهای عملیات Nansh۰u آن‌ها را با ۲۰ نسخه مختلف payload مخرب آلوده می‌کنند. این کار با استفاده از یک اسکریپت MS-SQL انجام می‌شود. این اسکریپت payloadها را در سیستم آلوده دانلود و نصب می‌کند. برای نصب payloadها، از یک آسیب‌پذیری افزایش سطح دسترسی با شناسه CVE-۲۰۱۴-۴۱۱۳ استفاده شده است.

_{امضای دیجیتال درایور نوع کرنل}

بدافزارهای منتقل شده دارای قابلیت‌های زیر هستند:
• اجرای کاوش‌گر رمزارز
• ایجاد پایداری در سیستم از طریق دستکاری کلیدهای رجیستری
• محافظت از فرایند کاوش رمزارز توسط یک روت‌کیت نوع کرنل
• نظارت بر تداوم کاوش‌گر

بیشتر payloadهای منتقل‌شده یک درایور نوع کرنل مبهم‌سازی شده با یک نام تصادفی نیز منتقل می‌کنند. این درایورها که فرایند جلوگیری توسط موتورهای ضدویروس را دور می‌زنند، به منظور محافظت از فرایند کاوش رمزارز و جلوگیری از توقف آن‌ها طراحی شده‌اند.

نشانه‌های آلودگی (IoC) این عملیات:

هش‌ها:

• ۶۸۵f۱cbd۴af۳۰a۱d۰c۲۵f۲۵۲d۳۹۹a۶۶۶ xfa۳BEB.tmp

• c۵c۹۹۹۸۸۷۲۸c۵۵۰۲۸۲ae۷۶۲۷۰b۶۴۹ea۱ DesktopLayer.exe

• ۷۰۸۵۷e۰۲d۶۰c۶۶e۲۷a۱۷۳f۸f۲۹۲۷۷۴f۱ apexp.exe

• ۶۸۸۶۲۴۳۸fae۴c۹۳۷۱۰۷۹۹۹ff۹d۸ff۷۰۹ apexp۲۰۱۲.exe

• ۳ccb۰۴۷b۶۳۱ed۶cab۳۴ef۱۱ccf۴۳e۴۷f sisr۸Aj.sys

• ۱f۹۰۰۷fbf۶a۳۷۷۸۱f۷۸۸۰c۱۰fc۵۷a۲۷۷ dllhot.exe

• ۵۸۹۹fde۳۳dc۷cf۳۵۴۷۷b۹۹۸c۷۱۴۴۵۴eb dllhot.exe

• ۱ad۸d۰۵۹۴f۹baffe۳۳۲ccfefb۲۵۴۷۵df apexd.exe

• ۱۸۷۳۹۴۴ee۰۲b۹e۶۸af۲d۴۹۹۷da۵e۵۴۲۶ avast.exe

• e۶b۹۰۵۴۷۵۹e۴d۲d۱۰fcf۴۲d۴۷d۹e۹۲۲۱ avast.exe

• ۱۷۷۰c۹bf۴a۴۱c۵۱۱۵۴۲۵d۷۶df۰۵۲b۶a۲ killtrtl.exe