【原】新版Prometei僵尸网络感染全球10,000多个系统

祺印说信安 2023-03-13 发布于河南

展开全文

自 2022 年 11 月以来，名为Prometei的僵尸网络恶意软件的更新版本已感染全球 10,000 多个系统。

这些感染在地理上是不分青红皂白的，而且是机会主义的，据报道，大多数受害者在巴西、印度尼西亚和土耳其。

Prometei 于 2016 年首次被发现，是一种模块化僵尸网络，具有大量组件和多种扩散方法，其中一些还包括利用ProxyLogon Microsoft Exchange Server 漏洞。

它还避免袭击俄罗斯而值得注意，这表明该行动背后的威胁行为者可能位于该国。

跨平台僵尸网络的动机是经济上的，主要是利用其受感染主机池来挖掘加密货币并获取凭据。

Cisco Talos在与黑客新闻分享的一份报告中表示，Prometei 的最新变体（称为 v3）改进了其现有功能，以挑战取证分析并进一步挖掘其对受害机器的访问权限。

自 Cisco Talos 于 2020 年首次报告 Prometei 僵尸网络以来，Prometei 僵尸网络继续活动。自 2022 年 11 月以来，我们观察到 Prometei 改进了基础设施组件和功能。更具体地说，僵尸网络运营商更新了执行链的某些子模块，以自动化流程并挑战取证分析方法。
根据在 2023 年 2 月对 DGA 域进行 sinkhole 一周期间获得的数据，我们非常有信心地评估 Prometei 僵尸网络 v3 的规模中等，在全球范围内有超过 10,000 个受感染的系统。
基于开源情报，攻击者还积极传播 Prometei 僵尸程序的改进 Linux 版本，不断改进当前版本 v3。
我们已经观察到以前未记录的功能，包括替代的 C2 域生成算法 (DGA)、自我更新机制以及 Apache Web 服务器的捆绑版本和部署到受害者主机上的 Web shell，从而提高了僵尸网络的整体技术能力.
此外，该机器人的目标可能受到乌克兰战争的影响。Tor 配置中唯一被排除在外的国家是俄罗斯，就像早期的变体一样，它也避免了其他独联体国家的出口节点。

Prometei 是一个高度模块化的僵尸网络，具有类似蠕虫的功能，主要部署 Monero 加密货币矿工，自 2016 年首次出现以来一直在不断改进和更新，对组织构成持续威胁。Talos在2020 年博文中首先分析了这种威胁，强调了其庞大的模块库、多种传播方法和持续发展。于 2022 年 11 月开始的初步分析和当前活动跟踪中，我们观察到 Prometei 部署了基于 Windows 的工具和恶意软件以及安全研究人员观察到的其他 Linux 版本。

Talos 观察到 Prometei 的加密货币挖掘和凭据盗窃活动是出于经济动机并且在地理上不分青红皂白。它的感染很可能是机会主义的，针对所有地区和垂直行业的易受攻击实体，以支持更高产量的凭证收集和 Monero 加密货币的挖掘。

攻击顺序是这样进行的：在获得成功的立足点后，执行 PowerShell 命令以从远程服务器下载僵尸网络恶意软件。Prometei 的主要模块随后用于检索系统上的实际加密挖掘有效载荷和其他辅助组件。

其中一些支持模块用作传播程序，旨在通过远程桌面协议 ( RDP )、安全外壳 ( SSH ) 和服务器消息块 ( SMB ) 传播恶意软件。

Prometei v3 还因使用域生成算法 ( DGA ) 构建其命令与控制 (C2) 基础设施而值得注意。它还包含一个自我更新机制和一组扩展的命令，以收集敏感数据并征用主机。

最后但同样重要的是，该恶意软件部署了一个 Apache 网络服务器，该服务器与基于 PHP 的网络外壳捆绑在一起，能够执行 Base64 编码的命令并执行文件上传。

>>>等级保护<<<