StripedFly恶意软件:悄无声息运行5年,感染百万设备

StripedFly恶意软件:悄无声息运行5年,感染百万设备_第1张图片

导语:最近,俄罗斯网络安全公司Kaspersky发布的一项调查显示,一种名为StripedFly的高级恶意软件伪装成加密货币挖矿程序,悄无声息地在全球范围内运行了超过5年,感染了100万台设备。这是一种复杂的模块化框架,支持Linux和Windows系统。本文将为大家揭示这个隐藏了5年的恶意软件的内幕。

恶意软件悄然运行5年

这款名为StripedFly的恶意软件自2016年4月起就开始运行,并在未被察觉的情况下持续了5年之久。根据Kaspersky的研究,StripedFly是一个复杂的模块化框架,支持Linux和Windows系统。该公司在2017年首次发现了这个威胁,并将其命名为StripedFly。令人震惊的是,这个恶意软件能够悄然运行如此之久,感染了100万台设备。

恶意软件的传播途径

StripedFly恶意软件利用了一个名为EternalBlue SMBv1的漏洞,该漏洞最初被归属于方程式组织(Equation Group)。通过利用这个漏洞,恶意软件可以渗透到公开可访问的系统中。恶意软件通过漏洞传递恶意shellcode,该shellcode可以从远程Bitbucket仓库下载二进制文件,并执行PowerShell脚本。此外,恶意软件还支持一系列插件式的可扩展功能,用于收集敏感数据甚至自行卸载。

恶意软件的功能和特点

StripedFly恶意软件的shellcode被注入到wininit.exe进程中,这是一个合法的Windows进程,由引导管理器(BOOTMGR)启动,并处理各种服务的初始化。安全研究人员Sergey Belov、Vilen Kamalov和Sergey Lozhkin在最近发布的技术报告中指出:“恶意软件本身的有效负载结构是一个单体的二进制可执行代码,旨在支持可插拔模块以扩展或更新其功能。”该恶意软件还配备了一个内置的TOR网络隧道,用于与命令服务器进行通信,并通过GitLab、GitHub和Bitbucket等受信任的服务进行更新和交付。

此外,恶意软件还具有其他引人注目的间谍模块,可以每两个小时收集凭据、在受害者设备上捕获屏幕截图、记录麦克风输入,并启动反向代理以执行远程操作。一旦成功入侵,恶意软件将在受感染主机上禁用SMBv1协议,并通过SMB和SSH使用从被黑系统中获取的密钥,通过蠕虫模块将恶意软件传播到其他机器。在Windows系统上,恶意软件通过修改Windows注册表或创建任务计划程序项来实现持久性;在Linux系统上,它通过systemd用户服务、自动启动的.desktop文件或修改/etc/rc*、profile、bashrc或inittab文件来实现持久性。

此外,恶意软件还会下载一个Monero加密货币挖矿程序,利用DNS over HTTPS(DoH)请求解析池服务器,以增加恶意活动的隐蔽性。研究表明,这个挖矿程序被用作干扰行为,以防止安全软件发现恶意软件的全部能力。

总结

StripedFly恶意软件的悄然运行5年,感染了100万台设备,引发了广泛的关注。这款恶意软件利用复杂的模块化框架,支持Linux和Windows系统,通过利用EternalBlue漏洞传播。它具有多种功能和特点,包括下载二进制文件、执行PowerShell脚本、收集敏感数据等。恶意软件的真正目的尚不得而知,但其高度复杂性和与方程式组织的相似之处表明,它可能是一种高级持续性威胁(APT)行为。我们需要保持警惕,及时更新补丁和安全软件,以保护我们的设备免受此类恶意软件的侵害。

你可能感兴趣的:(网络安全资讯,业界资讯,网络安全,网络)