超150萬RDP服務(wù)器 被GoldBrute僵尸網(wǎng)絡(luò)攻擊
無國界 2019-06-11
概覽
安全研究人員已經(jīng)發(fā)現(xiàn)了一個持續(xù)復(fù)雜的僵尸網(wǎng)絡(luò)活動，該活動目前在互聯(lián)網(wǎng)上暴力攻擊了超過150萬臺可公開訪問的Windows RDP（遠(yuǎn)程桌面協(xié)議）服務(wù)器。GoldBrute僵尸網(wǎng)絡(luò)由一個C2（命令和控制）服務(wù)器控制，與位于美國新澤西州的IP地址（104.156.249.231）相關(guān)聯(lián)。據(jù)了解，GoldBrute僵尸網(wǎng)絡(luò)目前對Windows系統(tǒng)構(gòu)成了不亞于BlueKeep帶來的威脅。
全球RDP服務(wù)器分布
這個被稱為GoldBrute的僵尸網(wǎng)絡(luò)能夠通過不斷添加新的破解系統(tǒng)，從而進(jìn)一步尋找新的可用RDP服務(wù)器，然后破解它們。
為了躲避安全工具和惡意軟件分析師的檢測，此惡意活動背后的威脅行為者命令其僵尸網(wǎng)絡(luò)中每臺受感染的設(shè)備使用唯一的用戶名和密碼組合，使得目標(biāo)服務(wù)器接收來自不同IP地址的暴力破解嘗試。
攻擊流程
由網(wǎng)絡(luò)安全機構(gòu)Morphus Labs的首席研究員Renato Marinho發(fā)現(xiàn)的該惡意活動，其具體流程如下圖所示：
第一步：在成功暴力破解RDP服務(wù)器后，攻擊者會在此設(shè)備上安裝一個基于Java的GoldBrute僵尸網(wǎng)絡(luò)惡意軟件。
第二步：為了控制受感染的設(shè)備，攻擊者利用一個固定集中的C2（命令和控制）服務(wù)器，通過AES加密的WebSocket連接交換命令和數(shù)據(jù)。
第三、四步：隨后，每臺受感染的設(shè)備都會收到第一條任務(wù)指令，即掃描并報告至少80臺可公開訪問的新RDP服務(wù)器列表，這些服務(wù)器可以被暴力破解。
第五、六步：攻擊者為每臺受感染設(shè)備分配一組特定的用戶名和密碼，作為其第二條任務(wù)指令，它們需要針對上述列表中的RDP服務(wù)器進(jìn)行破解嘗試。
第七步：在成功破解后，受感染設(shè)備會自動向C2服務(wù)器上傳登錄憑據(jù)。
目前還不清楚到底有多少臺RDP服務(wù)器已經(jīng)遭到破壞，并參與了針對互聯(lián)網(wǎng)上其他RDP服務(wù)器的暴力攻擊。
彼時，研究員通過快速Shodan搜索顯示，大約240萬臺Windows RDP服務(wù)器可以在互聯(lián)網(wǎng)上公開訪問，其中可能有一半以上的服務(wù)器正在遭遇暴力破解攻擊。
以上內(nèi)容由四川無國界(www.zgtxgcmh.com) 整理編輯——專業(yè)從事網(wǎng)絡(luò)信息安全培訓(xùn)與IT風(fēng)險管理咨詢服務(wù)。
