教学资源库 网站建设,软件工程的八个步骤,哪个网站做兼职猎头,做网站是用什么软件做的导语 近日#xff0c;一款名为StripedFly的恶意软件框架在网络安全研究人员的监视之外悄然感染了超过100万台Windows和Linux系统。这款跨平台的恶意软件平台在过去的五年中一直未被察觉。在去年#xff0c;卡巴斯基实验室发现了这个恶意框架的真实本质#xff0c;并发现其活… 导语 近日一款名为StripedFly的恶意软件框架在网络安全研究人员的监视之外悄然感染了超过100万台Windows和Linux系统。这款跨平台的恶意软件平台在过去的五年中一直未被察觉。在去年卡巴斯基实验室发现了这个恶意框架的真实本质并发现其活动始于2017年。尽管一开始被错误地归类为仅仅是一种门罗币挖矿软件但分析人员认为StripedFly非常令人印象深刻具备复杂的TOR基于流量隐藏机制、来自可信平台的自动更新、类似蠕虫的传播能力以及在公开披露漏洞之前创建的自定义EternalBlue SMBv1漏洞利用。 StripedFly恶意软件的威胁 StripedFly恶意软件的真实目的尚不清楚是为了牟利还是为了进行网络间谍活动。然而卡巴斯基实验室表示StripedFly的复杂性表明这是一种高级持续性威胁APT恶意软件。根据恶意软件的编译时间戳StripedFly最早的已知版本具备EternalBlue漏洞利用的功能可以追溯到2016年4月而Shadow Brokers组织的公开泄露发生在2016年8月。StripedFly恶意软件框架最早是通过在合法的Windows操作系统进程WININIT.EXE中注入Shellcode来发现的。经过调查注入的代码研究人员发现它会从像Bitbucket、GitHub和GitLab这样的合法托管服务下载和执行其他文件如PowerShell脚本。进一步的调查显示被感染的设备很可能是通过针对互联网暴露的计算机使用自定义的EternalBlue SMBv1漏洞利用进行入侵的。 StripedFly的传播方式 StripedFly恶意软件的最终载荷system.img具备轻量级自定义TOR网络客户端以保护其网络通信免受拦截同时具备禁用SMBv1协议的能力并利用SSH和EternalBlue在网络上传播到其他Windows和Linux设备。该恶意软件的命令与控制C2服务器位于TOR网络上与其通信涉及频繁的信标消息其中包含受害者的唯一ID。 StripedFly的独特特征 为了在Windows系统上实现持久性StripedFly根据其运行的特权级别和PowerShell的存在调整其行为。如果没有PowerShell它会在%APPDATA%目录中生成一个隐藏文件。如果有PowerShell它会执行创建计划任务或修改Windows注册表键的脚本。在Linux上该恶意软件以’sd-pam’的名字出现。它通过systemd服务、自动启动的.desktop文件或修改各种配置文件和启动文件例如/etc/rc*、profile、bashrc或inittab文件来实现持久性。 总结 根据卡巴斯基实验室的估计StripedFly恶意软件框架已感染超过100万台设备。这款恶意软件作为一个单体二进制可执行文件具备可插拔模块使其具备常与APT操作相关的操作灵活性。除了门罗币挖矿模块外StripedFly还具备其他模块使得威胁行为更加多样化包括数据窃取和系统利用。卡巴斯基实验室强调门罗币挖矿模块是StripedFly能够长期逃避检测的主要因素。此外研究人员还发现了与勒索软件变种ThunderCrypt的联系后者利用相同的C2服务器“ghtyqipha6mcwxiz[.]onion:1111”。StripedFly的“可重复任务模块”还暗示了攻击者可能对某些受害者的收入产生兴趣。
