新型 Linux 恶意软件 Doki 出现,它使用 Dogecoin API 查找 C&C 服务器地址

一颗小胡椒 2020-07-29
专栏 - 事件 发布于 2020-07-29 09:54:20 阅读 25 评论 0

安全研究人员发现了Doki,它是一个新的后门恶意软件,用来针对Docker实例。

新型Linux恶意软件使用Dogecoin API查找C&C服务器地址

虽然Linux恶意软件曾经处于恶意软件生态系统的边缘,但新的Linux威胁每周都在被发现。

最新的发现来自Intezer实验室。在本周的一份报告中,该公司分析了一种新的后门木马Doki,他们发现它是一种老的威胁行动者的一部分,这种老的威胁行动者以网络服务器为目标进行密码挖掘。

这个威胁行动者被称为Ngrok,因为它最初喜欢使用Ngrok服务来托管控制和命令(C&C)服务器,它至少在2018年底就开始活跃了。

Intezer实验室的研究人员说,在最近由Ngrok组织实施的攻击中,黑客的目标是管理API在网上暴露的Docker安装。

黑客滥用Docker API在公司的云基础设施中部署新服务器。运行Alpine Linux版本的服务器随后感染了加密恶意软件,也感染了Doki。

新型Linux恶意软件Doki使用Dogecoin API查找C&C服务器地址

DOKI如何使用DOGECOIN API

研究人员说,Doki的目的是让黑客控制他们新部署的Alpine Linux服务器,以确保密码挖掘行动按计划进行。

然而,虽然它的目的和使用可能看起来平庸,在引线下,Intezer说Doki不同于其他类似的后门木马。

最明显的细节是Doki如何确定它需要为新指令连接的C&C服务器的URL。

当一些恶意软件连接到原始IP地址或包含在其源代码中的硬编码的url时,Doki使用了一种动态算法——称为DGA(域生成算法)——使用Dogecoin API来确定C&C地址。

这个过程由Intezer的研究人员进行逆向工程,具体如下:

  1. 查询dogechain.info API,一个Dogecoin加密货币块浏览器,因为valuet帽子是从一个由攻击者控制的硬编码钱包地址发送(花)的。查询格式为:https://dogechain.info/api/v1/address/sent/{address}
  2. 对“sent”下面返回的值执行SHA256
  3. 将SHA256值的十六进制字符串表示形式中的前12个字符保存为子域。
  4. 通过将子域附加到ddns.net来构造完整的地址。一个例子域是:6d77335c4f23[.]ddns[.]net

以上所有步骤的意思是,Doki的创建者Ngrok gang可以通过在他们控制的一个Dogecoin钱包里做一笔交易来改变Doki获取命令的服务器。

如果DynDNS (ddns.net)收到关于当前Doki C&C URL的滥用报告并将其删除,Ngrok gang只需要做一个新的交易,确定子域名的值,并建立一个新的DynDNS帐户并获取子域名。

这个机制,虽然很聪明,也是一个有效的方式来防止执法部门破坏Doki后端基础设施,因为他们需要控制Ngrok团伙的Dogecoin钱包,没有钱包的密码钥匙是不可能实现的。

Intezer表示,根据提交给VirusTotal网络扫描仪的样本,Doki似乎从今年1月就已经存在了。然而,Intezer还指出,尽管已经存在了6个多月,但这种恶意软件仍然没有被大多数病毒扫描Linux引擎发现。

针对DOCKER实例的攻击增加

此外,虽然Doki恶意软件的C&C机制是聪明和新奇的,但真正的威胁是对Docker服务器的持续攻击。

在过去的几个月里,Docker服务器越来越多地成为了恶意软件运营商的攻击目标,特别是密码挖掘团伙。

就在上个月,网络安全公司详细介绍了几种不同的加密活动,针对配置不当的Docker api,部署新的Linux服务器,在服务器上运行加密恶意软件,利用受害者的基础设施获利。

这包括来自Palo Alto Networks的报告和来自Aqua的两份报告。此外,网络安全公司趋势科技(Trend Micro)也报道了一系列攻击,黑客针对Docker服务器安装DDoS恶意软件,这是黑客没有选择加密挖掘有效载荷的罕见案例。

总而言之,这里的结论是,在云中作为虚拟化软件运行Docker的公司需要确保管理界面的API不会暴露在互联网上,一个小小的错误配置使得第三方能够控制他们的Docker安装。

在报告中,Intezer特别提到了这个问题,并警告说,Ngrok团伙在扫描和攻击中非常具有侵略性,他们通常会在Docker服务器被在线曝光后的数小时内部署恶意软件。

本作品采用《CC 协议》,转载必须注明作者和本文链接
讨论数量: 0
(= ̄ω ̄=)··· 暂无内容!
请勿发布不友善或者负能量的内容。与人为善,比聪明更重要!