網(wǎng)絡(luò)犯罪分子利用Samba 漏洞“永恒之紅”(EternalRed)或SambaCry將虛擬貨幣挖礦軟件傳送至Linux服務(wù)器。安全研究人員發(fā)現(xiàn)，這群網(wǎng)絡(luò)犯罪分子開發(fā)了一款針對Windows系統(tǒng)的新后門——“CowelSnail”。
經(jīng)卡巴斯基實驗室產(chǎn)品檢測，這款新的惡意軟件為Backdoor.Win32.CowerSnail)—— CowerSnail使用的命令與控制(C&C)服務(wù)器與SambaCry Linux惡意軟件相同：cl.ezreal.space:20480。
CowerSnail使用Qt(跨平臺開發(fā)框架)編寫。安全專家認(rèn)為，CowerSnail開發(fā)人員使用Qt是為了直接轉(zhuǎn)移Unix代碼，而非研究如何使用Windows API。另一方面，雖然在平臺之間轉(zhuǎn)移代碼相對容易，但Qt使生成的文件更大。
CowerSnail是一個不尋常的惡意軟件，通過Qt編寫。Qt是開發(fā)跨操作系統(tǒng)應(yīng)用程序的編碼框架。Qt惡意軟件并不新鮮，但像Codewise這類惡意軟件卻很少見。
卡巴斯基公司的研究人員謝爾蓋·尤拉科夫斯基表示，CowerSnail惡意軟件僅包含基本功能，目前只能作為后門感染主機(jī)。
CowerSnail的主要功能是在被感染主機(jī)上執(zhí)行成批命令。CowerSnail從控制與命令(C&C)服務(wù)器接收這些命令。
CowerSnail和SambaCry Linux惡意軟件或同門
CowerSnail和SambaCryLinux惡意軟件使用的C&C服務(wù)器相同：cl.ezreal.space:2048。
尤拉科夫斯基解釋稱，SambaCry專門針對*nix系統(tǒng)。CowerSnail使用Qt編寫，這說明開發(fā)人員并不希望探究WinAPI細(xì)節(jié)，更愿意“照搬”*nix代碼。
這名安全專家認(rèn)為，上述事實，再加上兩款軟件使用的C&C服務(wù)器相同，可以合理推測CowerSnail和SambaCry漏洞利用由同一組織開發(fā)。該組織創(chuàng)建了兩個獨立的木馬：各自針對特定平臺，并且各具特點，該組織未來可能會開發(fā)更多惡意軟件。
CowerSnail具體功能
與SambaCry不同的是，CowerSnail不會默認(rèn)下載虛擬貨幣挖礦軟件，而是提供標(biāo)準(zhǔn)的后門功能：
接收更新(LocalUpdate)
執(zhí)行任何命令(BatchCommand)
安裝CowerSnail作為一種服務(wù)，使用服務(wù)控制管理器(Service Control Manager)命令行接口(Install)
將CowerSnail從服務(wù)列表卸載(Uninstall)
收集系統(tǒng)信息：
時間戳;
安裝的操作系統(tǒng)類型(例如Windows);
操作系統(tǒng)名稱;
主機(jī)名稱;
網(wǎng)絡(luò)接口名稱;
ABI;
核心處理器架構(gòu);
物理內(nèi)存信息。
尤拉科夫斯基還在CowerSnail C&C服務(wù)器流量中發(fā)現(xiàn)一些線索，表明開發(fā)人員正在研究添加IRC協(xié)議支持。惡意軟件開發(fā)人員通常會在IRC通道中鍵入命令使用IRC協(xié)議控制被感染的主機(jī)?；贗RC的C&C服務(wù)器通信通常用于僵尸網(wǎng)絡(luò)，而非后門木馬。
SambaCry漏洞
SambaCry漏洞(CVE-2017-7494)能被用來將共享庫上傳至可寫共享，并導(dǎo)致服務(wù)器加載該共享庫，這就允許遠(yuǎn)程攻擊者在目標(biāo)系統(tǒng)上執(zhí)行任意代碼。
SambaCry漏洞已于5月修復(fù)，影響幾個廠商的產(chǎn)品，包括路由器和網(wǎng)絡(luò)附加存儲(NAS)設(shè)備。事實上，Trend Micro 7月初發(fā)現(xiàn)一款惡意軟件利用 SambaCry漏洞攻擊NAS設(shè)備，尤其中小型企業(yè)使用的NAS設(shè)備。
轉(zhuǎn)型的最終目的 -提質(zhì)降本增效
分享到微信 ×
打開微信，點擊底部的“發(fā)現(xiàn)”，
使用“掃一掃”即可將網(wǎng)頁分享至朋友圈。