https://newera17031.activehosted.com/index.php?action=social&chash=17ed8abedc255908be746d245e50263a.2770&nosocial=1
https://newera17031.activehosted.com/index.php?action=social&chash=17ed8abedc255908be746d245e50263a.2770&nosocial=1

新聞

遭駭 Exchange 伺服器成QuickCPU惡意挖礦程式跳板

2021 / 04 / 15
編輯部
遭駭 Exchange 伺服器成QuickCPU惡意挖礦程式跳板
在 3 月 2 日、9 日 Microsoft Exchange 漏洞被揭露以及緊急發布專屬安全修補程式之後,越來越多的攻擊者正在利用這些漏洞發起攻擊。Sophos 先前就披露過 DearCry 和  Black Kingdom 等勒索軟體造成的攻擊。
 
Sophos 再次發表新的研究成果,《遭駭的 Exchange Server 上被植入惡意加密挖礦程式並攻擊其他 Exchange 伺服器》,詳細介紹合法開源門羅幣挖礦程式 xmr-stak 的變種,已被安裝在遭駭客入侵的 Exchange Server 上,並用於鎖定其他尚未針對 ProxyLogon 漏洞進行修補的 Exchange Server。
 
攻擊幕後者將該新變種命名為「QuickCPU」,以讓受害者誤認為它是合法的開源 CPU 最佳化工具 Quick CPU (但其實毫不相關)。
 
Sophos 首席威脅研究人員 Andrew Brandt 表示:「儘管利用 ProxyLogon Exchange 漏洞的攻擊花了一週左右的時間才出現,但惡意加密挖礦程式可沒這麼有耐心。在漏洞被揭露,安全更新發佈後的數小時內,駭客就攻擊了尚未更新的伺服器。不意外的,QuickCPU 是 xmr-stak 門羅幣加密挖礦程式的變種,我們的分析顯示 3 月 9 日時,挖礦的金流流向攻擊者的門羅幣錢包,此後攻擊規模迅速縮減。這表示我們面對的是另一種快速編譯、採機會主義和可能是實驗性的攻擊,試圖在各界普遍修補漏洞之前賺點快錢。
 
「這種攻擊與眾不同的原因,是操作者會在已經被感染的 Exchange Server 上安裝惡意加密挖礦程式,然後將該 Exchange Server 當成跳板,將惡意挖礦程式傳播到其他受感染的伺服器。攻擊者使用了一連串標準反偵測技術,包括將惡意挖礦程式安裝在記憶體中以躲避安全掃描,使用後刪除安裝和設定檔,並使用傳輸層安全性協定加密的流量與他們的門羅幣錢包通訊。結果,大多數電腦遭駭的第一個跡象多半是處理能力顯著下降。尚未修補的伺服器可能會被入侵一段很長的時間,然後才發現問題。
 
「安全部門應緊急安裝 Microsoft 修補程式,以防止 Exchange Server 遭到濫用。但僅靠修補是不夠的,企業還需要找出並解決更多不安全的弱點和漏洞,以防日後遭到攻擊。例如,系統管理員應在 Exchange 服器上掃描後門命令介面 (Web Shell),並監控伺服器上是否有不知從何而來的異常處理序。陌生處理序的 CPU 使用率高,很可能就是惡意加密挖礦或勒索軟體的跡象。如果無法做到這一點,那麼請密切監視伺服器,直到將 Exchange 資料移轉到其他已經更新的伺服器上,然後中斷該未安裝修補程式的伺服器與網際網路的連線。」

相關新聞: 美國國家安全局發表 4 個最新 Microsoft Exchange Server 嚴重漏洞,應立即修補