每周安全速递³⁰⁶|Gafgyt僵尸网络新变种通过弱SSH密码攻击GPU进行加密货币挖矿

第306期

本周热点事件威胁情报

Gafgyt僵尸网络新变种通过弱SSH密码攻击GPU进行加密货币挖矿

研究人员发现了一种Gafgyt僵尸网络新变种，该变种通过弱SSH密码攻击机器，最终利用被攻陷实例的GPU计算能力进行加密货币挖矿。最新的攻击链涉及暴力破解SSH服务器的弱密码，以部署下一阶段的有效载荷，促进使用“systemd-net”的加密货币挖矿攻击，但在此之前会终止已在被攻陷主机上运行的竞争性恶意软件。它还执行一个蠕虫模块，一个基于Go的SSH扫描器名为ld-musl-x86，负责扫描互联网中安全性差的服务器并将恶意软件传播到其他系统，有效地扩大僵尸网络的规模。这包括SSH、Telnet以及与游戏服务器和AWS、Azure和Hadoop等云环境相关的凭据。

参考链接：

https://www.aquasec.com/blog/gafgyt-malware-variant-exploits-gpu-power-and-cloud-native-environments/

Black Basta有关联的攻击者利用SystemBC恶意软件进行凭证盗窃

研究人员发现，一个与Black Basta勒索软件组织有关的社会工程攻击活动，旨在进行凭证盗窃并部署名为SystemBC的恶意软件。这一攻击链涉及多次入侵尝试，目标是用户的敏感数据。攻击者使用一个名为“AntiSpam.exe”的可执行文件，声称下载电子邮件垃圾过滤器，并要求用户输入Windows凭证以完成更新。接下来执行多个二进制文件、DLL文件和PowerShell脚本，包括一个基于Golang的HTTP信标，与远程服务器建立联系，一个SOCKS代理和SystemBC。这些攻击活动只是最近几周内发现的大量钓鱼和社会工程攻击中的最新一波，威胁行为者还越来越多地利用假二维码进行恶意活动。

参考链接：

https://www.rapid7.com/blog/post/2024/08/12/ongoing-social-engineering-campaign-refreshes-payloads/

RansomHub勒索软件攻击者武器库新增“EDRKillShifter”破坏工具

研究人员近日发现，一名犯罪团伙在对一组织发起名为RansomHub的勒索软件攻击时，尝试部署了一款新型的EDR（端点检测和响应）破坏工具“EDRKillShifter”。虽然这次勒索软件攻击没有成功，但事后分析揭露了这一专为终止端点保护软件而设计的工具。EDRKillShifter工作原理是通过一个“加载器”可执行文件，它是一个合法驱动程序的传递机制，该驱动程序容易被滥用。攻击者必须执行带有密码字符串的命令行来运行EDRKillShifter。使用正确的密码运行时，该可执行文件会解密嵌入的名为BIN的资源，并在内存中执行它。BIN代码解压并执行最终的有效载荷。这最终的有效载荷，用Go编程语言编写，会放置并利用多种不同的易受攻击、合法的驱动程序以获取足够权限以取消EDR工具的保护。该工具的样本分析显示，所有样本共享相同的版本数据，原始文件名为Loader.exe，产品名为ARK-Game，二进制文件的语言属性是俄语。这些样本都需要传递给命令行的唯一64字符密码。如果密码错误（或未提供），它将不会执行。当执行时，EDRKillShifter将一个名为BIN的加密资源加载到内存中，还会将该数据复制到一个新文件Config.ini中，并将该文件写入执行二进制文件的同一文件系统位置。

参考链接：

https://news.sophos.com/en-us/2024/08/14/edr-kill-shifter/

FBI关闭了攻击数十家公司勒索软件团伙的服务器

FBI克利夫兰分局宣布成功破获了由网名“Brain”领导的勒索软件组织“Radar/Dispossessor”，并拆除了三台美国服务器、三台英国服务器、十八台德国服务器、八个美国域名和一个德国域名。自2023年8月成立以来，Radar/Dispossessor迅速发展成为一个国际性影响力的勒索软件组织，专门针对中小型企业及组织，涉及生产、开发、教育、医疗、金融服务和运输等多个行业。调查发现，该组织在美国及阿根廷、澳大利亚、比利时、巴西、洪都拉斯、印度、加拿大、克罗地亚、秘鲁、波兰、英国、阿联酋和德国等国家攻击了43家公司。FBI在调查期间识别出了多个与Brain及其团队相关的网站。尽管目前受影响的企业和组织总数尚未确定，FBI鼓励任何有关于Brain或Radar Ransomware的信息，或其业务或组织曾成为勒索软件目标或受害者的人，联系互联网犯罪投诉中心或拨打1-800-CALL-FBI，身份可以保持匿名。

参考链接：

https://www.fbi.gov/contact-us/field-offices/cleveland/news/international-investigation-leads-to-shutdown-of-ransomware-group?7194ef805fa2d04b0f7e8c9521f97343

勒索软件组织Rhysida声称窃取两家医疗系统数据

勒索软件组织Rhysida宣称对两家新的医疗系统——Bayhealth和Community Care Alliance（CCA）进行了大规模数据盗窃。Rhysida威胁将患者的敏感健康和个人信息在暗网上出售或公开。位于特拉华州的非营利医疗系统Bayhealth拥有多家医院、4000名员工和650名医生及其他临床医护人员。Rhysida声称窃取了Bayhealth患者的个人信息，并要求支付25个比特币（约150万美元）作为赎金。同时，位于罗德岛的Community Care Alliance提供心理健康、成瘾、住房和创伤相关问题的服务。Rhysida声称窃取了一个包含超过2.5 TB数据的SQL数据库，内含地址、社会安全号码、电话号码和信用卡号码等个人信息。CCA尚未对此作出公开回应或在其网站上发布相关声明。

参考链接：

https://www.govinfosecurity.com/rhysida-claims-major-data-theft-from-2-more-health-systems-a-25997

美创科技第59号安全实验室，专注于数据安全技术领域研究，聚焦于安全防御理念、攻防技术、漏洞挖掘等专业研究，进行知识产权转化并赋能于产品。自2021年起，累计向CNVD、CNNVD等平台提报数千个高质量原创漏洞，并入选国家信息安全漏洞库（CNNVD）技术支撑单位（二级）、信创政务产品安全漏洞库支撑单位，团队申请发明专利二十余项，发表多篇科技论文，著有《数据安全实践指南》、《内网渗透实战攻略》等。