🚀 أصبحت CloudSek أول شركة للأمن السيبراني من أصل هندي تتلقى استثمارات منها ولاية أمريكية صندوق
اقرأ المزيد
الهجوم
- في سلسلة من الهجمات التي قد تكون منسقة، تستهدف شركات تعدين العملات المشفرة الخبيثة مراكز البيانات الأكاديمية في جميع أنحاء الصين وأوروبا وأمريكا الشمالية، مما يعطل أبحاث COVID-19.
- يعتقد فريق الاستجابة لحوادث أمن الكمبيوتر في EGI أن المهاجم ينتقل من ضحية إلى أخرى باستخدام بيانات اعتماد SSH المخترقة، مع نية تعدين Monero.
- المضيفون المستهدفون مصابون ببرامج ضارة و يتم تغييرها لتكون بمثابة:
- مضيفو تعدين XMR (عن طريق تشغيل ثنائي XMR مخفي)
- مضيفو XMR-Proxy؛ يستخدم المهاجم هؤلاء المضيفين من مضيفي تعدين XMR للاتصال بمضيفي XMR-Proxy الآخرين وفي النهاية بخادم التعدين الفعلي.
- مضيفو بروكسي SOCKS (يقومون بتشغيل مثيل MicroSocks على منفذ مرتفع)؛ يتصل المهاجم بهؤلاء المضيفين عبر SSH، غالبًا من Tor. يتم استخدام MicroSocks من Tor أيضًا.
- مضيفو النفق (نفق SSH)؛ يتصل المهاجم عبر SSH (الحساب المخترق) ويقوم بتكوين NAT PREROUTING (عادةً للوصول إلى مساحات IP الخاصة).
التكتيكات
- يتم الاستفادة من TOR أو المضيفين المخترقين للاتصال بخوادم SOCKS proxy.
- من بين العديد من التقنيات الأخرى، يستخدم المهاجمون أيضًا وحدة Linux Kernel الخبيثة للتغطية على أنشطتهم.
- يتم سرقة بيانات اعتماد SSH للوصول إلى المضيفين. على الرغم من أنه من غير المعروف كيف يسرق المهاجمون أوراق الاعتماد، فقد تمكن بعض الضحايا من العثور على ثنائيات SSH المخترقة.
- لتجنب الاكتشاف، تم تكوين نشاط XMR بطريقة لا تعمل إلا في الليل.
تفاصيل الملف
- قم بتشغيل kill -63 $ (معرف عشوائي) متبوعًا بـ lsmod، ثم ابحث عن وحدات بأسماء مثل: ديامورفين، scsi، iscsi، readaps.
- تحقق من محتوى /etc/cron.hourly/0anacron.
- ملفات أخرى:
- /الصفحة الرئيسية/ */.موزيلا/xdm
- /tmp/.dbs *
- /tmp/.lock
- /tmp/aes.tgz
- /tmp/db.tgz
- /tmp/dbsyn *
- /tmp/محجوز
- /tmp/systemdb
- /tmp/تم تحديثه
- /tmp/فحص الطاقة
- /var/tmp/.lock/قباقيب
- /var/tmp/.lock/cpa.h
- /var/tmp/.lock/سجلات
- /wlcg/arc-ce1/ذاكرة التخزين المؤقت/.cache
- /apps/.ior/read/.terma
- /apps/.ior/read/.termb
- /etc/fonts/.fonts (الملف الثنائي المطلوب للتصعيد ذي الامتيازات (يحتوي على `setgid (0)؛ setuid (0)؛ excel ('/bin/bash/'، {'bash'، NULL}، NULL) `)
- /etc/fonts/.low (منظف السجل، قادر على إزالة السجلات والإدخالات المطابقة لمستخدمين محددين (خلال فترة زمنية معينة) في معظم ملفات السجل)
- /tmp/hdshare
- /tmp/readps
- /usr/بين/أون_ac_power
- /usr/lib/libocs.so
- /usr/lib64/.lib/l64
- /usr/share/aldi.so
- /المستخدم/المشاركة/sos/
- /usr/share/sos/rh.pub
- /usr/share/sos/rh.pub
- /var/tmp/.lock
- /etc/ترمينفو/.terma
- /etc/terminfo/.termb
- $home/.mozilla/الإضافات/.Fonts
- $HOME/.mozilla/الإضافات/.low
- $home/.mozilla/الإضافات/.aa
- $HOME/.mozilla/الإضافات/الاختبار
- /usr/lib64/.lib/l64
- /var/ألعاب/.terma
