首页 > 服务器 > Linux > 一个号称完全无法检测到的Linux后门
2020
08-11

一个号称完全无法检测到的Linux后门

Ngrok挖矿僵尸网络活动正在Internet上扫描配置不当的Docker API端点,并且已经用新的恶意软件感染了无数服务器。


确实,Ngrok挖矿僵尸网络在过去两年中一直都非常活跃,但不同的是,新活动主要针对配置错误的Docker服务器,并利用它们在受害者的基础架构上运行带有加密矿工的恶意容器。


这种新的多线程恶意软件被称为“Doki”。


Doki,被称为是一个完全无法检测到的Linux后门,主要利用一种无记录的方法,通过狗狗币(一种加密货币)区块链来联系其运营商,从而动态生成其C2域地址。



据研究人员称,Doki

可以执行从操作人员发出的命令

使用Dogecoin加密货币区块链浏览器实时动态生成其C2域

使用embedTLS库进行加密功能和网络通信

创建短生命周期的独一无二的URL,并在攻击期间使用它们下载有效负载

除此之外,攻击者还设法将新创建的容器与服务器的根目录绑定,从而使主机访问或修改系统上的任何文件,造成破坏。



通过使用绑定配置,攻击者还可以控制主机的cron工具,从而修改主机的cron以每分钟执行下载的有效负载。


容器逃逸技术使得攻击者能够完全控制受害人的基础架构,因此Doki的威胁程度可见一斑。再加上Doki还利用zmap、zgrap和jq等扫描工具,利用受感染的系统进一步扫描网络中与Redis,Docker,SSH和HTTP相关的端口,存在更大的威胁隐患。


尽管2020年1月14日,Doki已上载到VirusTotal,并在此后进行了多次扫描,但仍设法躲藏了六个月以上。令人惊讶的是,目前它仍然无法被61个顶级恶意软件检测引擎中的任何一个所检测到。

因此,建议运行Docker实例的用户和组织不要将Docker API设置为公开访问,或者确保仅从受信任的网络或VPN访问Docker。


扫码芷若 获取免费视频学习资料

编程学习

查 看2019高级编程视频教程免费获取