MrbMiner：伊朗加密货币挖矿恶意软件攻击SQL服务器-低调大师

MrbMiner：伊朗加密货币挖矿恶意软件攻击SQL服务器

2021-02-26 538

Sophos研究人员发现有数据库服务器进程(sqlservr.exe)启动了有个下载器可执行文件，该下载器会提取一个名为MrbMiner的加密货币挖矿机。根据开源情报分析，研究人员发现该矿工是由伊朗的一家软件开发公司创建和控制的。

Microsoft SQL服务器目录运行的可执行文件下载MrbMiner

研究人员分析发现MrbMiner采用了类似MyKings、Lemon_Duck、Kingminer等加密货币挖矿机使用的技术来实现驻留。

研究人员分析发现Microsoft SQL Server进程 (sqlservr.exe)启动了一个名为assm.exe的下载器木马。assm.exe程序会从web 服务器下载一个加密货币挖矿机payload，然后连接到C2服务器来报告是否成功下载和执行挖矿矿工。

在大多数案例中，payload是一个名为sys.dll的文件，虽然该文件的后缀是dll，但并不是一个Windows DLL文件，而是含有加密货币挖矿机二进制文件、配置文件和相关文件的zip压缩包。

研究人员从GitHub上找到了一个相同命名的sys.dll payload。许多都完全都有Linux版本的加密货币挖矿机payload，但其配置文件使用了不同的加密货币钱包地址而不是Windows版本的。

MrbMiner加密货币挖矿机payload包含一个kernel级的设备驱动WinRing0x64.sys和一个名为Windows Update Service.exe的挖矿机可执行文件来混淆其真实目的。可执行文件是XMRig 挖矿机的修改版本。

WinRing0x64.sys 文件是一个kernel 驱动，允许用户应用获取ring0 级的资源。这样攻击者就可以访问CPU 寄存器这样的特征，还可以直接读写内存。此外，加密货币挖矿机使用驱动来修改MSR 寄存器来禁用CPU预取器，CPU预取器可以带来6-7%的性能提升。该驱动是标准的功能，在2019年12月加入到XMRig 挖矿机中。

不同源域名之间共享的可疑文件

研究人员在MrbMiner 样本中发现了一个名为sys.dll的zip文件。

进一步分析发现了大量的相关文件和URL。研究人员在挖矿机配置文件中发现了一个硬编码的域名——vihansoft.ir。

该域名与许多含有矿工副本的zip文件有关系，包括名为agentx.dll 和 hostx.dll的文件。这些不同的zip文件包含的payload包括Windows Security Service.exe、Windows Host Management.exe、Install Windows Host.exe、Installer Service.exe、Microsoft Media Service.exe和名为linuxservice和 netvhost的Linux ELF可执行文件。

许多这些相同的文件都是从其他域名下载的，包括mrbfile.xyz 和 mrbftp.xyz。其他恶意文件都保存在这些站点上，zip文件名为sys.dll 和 syslib.dll，zip文件中的payload为Windows Security Service.exe、SecurityService.exe和PowerShellInstaller.exe。

与伊朗有关

研究人员分析发现大多数攻击活动的目标都是联网的服务器。挖矿的配置、域名和IP地址等相关记录都指向了同一个源头：一家位于伊朗的小软件开发公司。

Payload位置和C2服务器地址都是硬编码在下载器中的。C2和payload服务器使用的域名——vihansoft.ir，都是一家位于伊朗的软件开发公司注册的。Payload 也是vihansoft.ir域名相关的IP地址直接下载的。

研究人员矿工payload是从vihansoft 域名的web root目录下载的。加密货币数据发送给了位于poolmrb.xyz 和 mrbpool.xyz 域名的钱包地址。矿工恶意软件是从vihansoft.ir、mrbfile和mrbftp等域名下载的，这些域名会与poolmrb/mrbpool 域名进行通信。

Mrb域名和vihansoft都没有可用的WHOIS信息，但是他们都使用相同的WHOIS 隐私服务——WhoisGuard，来隐藏域名所有者信息。

本文翻译自：

https://news.sophos.com/en-us/2021/01/21/mrbminer-cryptojacking-to-bypass-international-sanctions/

【责任编辑：赵宁宁 TEL：（010）68476606】

微信关注我们

原文链接：http://netsecurity.51cto.com/art/202102/647292.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

新型恶意软件“Silver Sparrow”已感染了近三万台Mac，且已扩散到153个国家/地区

继新的一年在野外发现首批针对Apple M1芯片的恶意软件后几天，研究人员又披露了另一个以前未被发现的恶意软件，截止发稿时，该恶意软件已在大约30000台运行Intel x86_64的Mac和iPhone制造商的M1处理器中被发现。然而，该行动的最终目标目前还不得而知，由于缺乏下一阶段或最终的有效载荷，研究人员无法确定其传播时间表以及攻击是否还在积极发展中。目前网络安全公司Red Canary已该恶意软件命名为“Silver Sparrow”，且发现了两种不同版本的恶意软件，第一个仅针对Intel x86_64编译，并于2020年8月31日上传到VirusTotal(版本1)，第二个变种1月22日提交到数据库的兼容英特尔x86_64和M1 ARM64架构(版本2)。鉴于 Silver Sparrow 二进制文件 “似乎还没有那么大的作用”，Red Canary 将其称为 “旁观者二进制文件 "”。当在基于英特尔的 Mac 上执行时，恶意包只是显示了一个带有 “Hello, World!”信息的空白窗口，而苹果 silicon 二进制文件则会导致一个红色窗口出现，上面写着 “You...

2021-02-26

509

联网汽车和驱动它们的技术一直在继续发展，这为提高汽车效率和安全性带来了大量的发展机会。然而，与此同时，网络犯罪分子继续在想方设法对联网汽车及其使用的技术进行攻击。详细的研究报告，请点此《联网汽车的网络安全：探索5G，云和其他互联技术的风险》。还有去年的相关研究请点此。 5G为联网汽车提供了机遇 Gartner透露，到2023年，汽车行业将成为5G物联网(IoT)解决方案的最大市场。上述行业将占整个5G物联网终端机会的53%，其中39%的机会将来自联网汽车，这个比例较2020年预计的11%大幅上升。有充分的理由说明联网汽车越来越依赖5G，众所周知，联网汽车由两个主要部件组成：汽车本身及其连接方式。从某种程度来讲，连接的质量定义了连接后的汽车能做什么，使用4G的联网汽车可能需要驾驶者更多的参与，以确保安全和控制，尤其是在以潜在危险的速度运行时。另一方面，5G有可能成为未来自动驾驶汽车的重要组成部分。据说5G比4G快100倍，用4G网络下载一部2小时的电影只需7分钟左右，而用5G网络下载通常需要10秒左右。5G的高速和高质量有助于为联网汽车提供可靠的连接。对联网汽车的4G和5G网络进行...

2021-02-26

562

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。