看准Windows的新兴僵尸网络 Kraken
发布时间：2022-03-17 06:57:55 所属栏目：安全 来源：互联网
导读：2021 年 10 月，ZeroFox Intelligence 披露了名为 Kraken 的僵尸网络。Kraken 通过 SmokeLoader 进行传播，每次更新攻击基础设施时都会扩大规模。尽管与 2008 年发现的 Kraken 僵尸网络同名，但二者并没有其他共同点。 自从 2021 年 10 月以来，Kraken 僵
|
2021 年 10 月，ZeroFox Intelligence 披露了名为 Kraken 的僵尸网络。Kraken 通过 SmokeLoader 进行传播，每次更新攻击基础设施时都会扩大规模。尽管与 2008 年发现的 Kraken 僵尸网络同名，但二者并没有其他共同点。 自从 2021 年 10 月以来，Kraken 僵尸网络一直在针对 Windows 积极开发。尽管 Bot 的功能相对简单，但攻击者一直在持续更新。其具有的典型功能如下： 持久化 收集主机信息 下载并执行程序 远程命令执行 窃取加密货币钱包 屏幕截图 开端 Kraken 的早期版本在 2021 年 10 月 10 日被上传到 GitHub 上，该版本的源代码早于在野发现的任何样本。但目前尚不清楚，GitHub 上的代码是否属于攻击者或者是攻击者只是利用了该代码进行开发。 感染 Kraken 在 SmokeLoader 下载的自解压 RAR SFX 文件中进行传播。SFX 文件中包含一个 UPX 加壳的 Kraken、一个 RedLine Stealer 和一个用于删除 Kraken 的程序。后续版本除了使用 UPX 加壳，也使用 Themida 进行加壳。 SFX 文件 持久化 Kraken 会将自身移动到 %AppData%Microsoft处。文件名是硬编码的，诸如 taskhost.exe、Registry.exe和 Windows Defender GEO.exe等。 为了持久化隐藏，Kraken 运行以下两个命令： 复制 powershell -Command Add-MpPreference -ExclusionPath %APPDATA%Microsoft attrib +S +H %APPDATA%Microsoft PowerShell 命令控制 Microsoft Defender 不扫描 Kraken 所在目录，而 attrib 控制文件隐藏。 Kraken 利用注册表保持系统启动时自启动。 注册表键值的名称是另一个硬编码值，早期版本名为 Networking Service，后期使用 Networking5 Servic1e、Networking5r Servirc1er等。 每个版本中都保持不变的是： ID：混淆的 UUID INSTALL：安装时间戳 LAST：空 NAME：混淆的文件和运行密钥 REMASTER：nil VERSION：0.5.6 特征 Kraken 的功能相对其他僵尸网络仍然是十分简单的，主要将失陷主机的相关信息回传给 C&C 服务器。收集信息如下所示： 主机名 用户名 构建 ID(TEST_BUILD_+第一次运行的时间戳) CPU 信息 GPU 信息 操作系统和版本 Kraken 最初用于更新 Bot、执行 Payload 以及接收文件等功能的下载文件功能，在最新版本中已经合并为一个。 攻击者曾经也增加了 SSH 爆破功能，但很快就被删除了。C&C 服务器发送 ScreenShot命令，样本就会截取系统的屏幕截图。 最近添加的功能是窃取加密货币钱包： 复制 %AppData%Zcash %AppData%Armory %AppData%ytecoin %AppData%Electrumwallets %AppData%Ethereumkeystore %AppData%Exodusexodus.wallet %AppData%GuardaLocal Storageleveldb %AppData%tomicLocal Storageleveldb %AppData%com.liberty.jaxxIndexedDB ile__0.indexeddb.leveldb 目前支持的命令有： 复制 Position ScreenShot SHELL UPLOAD 自从 2021 年 10 月以来，控制面板已经更新了很多版本。尽管 GitHub 上的源码包含 C&C 服务器的代码，但是并不包含控制面板。 (1) Kraken 最初的面板是 Kraken面板，提供了基本的数据统计、上传下载 Payload 以及与批量受控主机交互等功能。 (2) Anubis 当前的控制面板为 Anubis面板，提供的信息比原有面板多得多。可以查看历史命令记录与有关受害者的相关信息。 控制面板 Anubis面板在后续更新中增加了选择目标执行的能力，这样可以更精细地控制攻击目标。 历史记录 随着 Kraken 僵尸网络规模的不断扩大，也在部署其他信息窃密程序和挖矿程序，僵尸网络挖矿每月的收入大概在 3000 美元左右。 结论 Kraken 的活动曾经一度减弱，但在短时间内就会启用新端口或者新的 C&C 服务器。通过对命令的监控，攻击者专注于部署信息窃密程序，特别是 RedLine Stealer。 （编辑：云计算网_泰州站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
浙公网安备 33038102330476号