【殭屍程式】Glupteba利用區塊鏈交易特色 藏控制中心位址

    殭屍程式 Glupteba 一直是 Google 致力打擊的對象,去年 12 月,Google 更宣布已跟網絡商及網站代管公司成功瓦解 Glupteba 所使用的伺服器及網址,並向兩個俄羅斯黑客提出起訴。不過,Glupteba 並未就此敗退,安全研究員更發現,它借用區塊鏈交易的特性,令發放攻擊指令的控制中心變得更牢不可破。

    根據 Google 的調查發現,Glupteba 是一款專門攻擊 Windows 及 IoT 裝置的殭屍程式,最高峰時全球曾有過百萬裝置受到感染,而且感染速度更以每日數千宗的速度上升。它雖然是一款殭屍程式,可隨時控制殭屍大軍發動 DDoS 攻擊,其實還具備竊取受感染電腦內的帳戶資料能力,又會取用電腦運算資源來挖礦,惡意功能相當全面。

    它的散播途徑主要是假扮成破解版軟件,以及利用 Pay Per Install 服務擴大觸及率。由於 Glupteba 的破壞力驚人,因此 Google 去年才出手瓦解它的基礎設施,截斷 Glupteba 與黑客的控制中心聯繫,而這亦是一般對付殭屍網絡的有效方法。

    不過,專門提供 OT 及 IoT 網絡安全服務的 Nozomi Networks 研究員卻發現,黑客借助了區塊鏈交易的特性,令受感染電腦可持續與控制中心聯繫。

    研究員以 bitcoin 交易為例解釋,黑客首先會將一個加密貨幣電子錢包位址放在 Glupteba 內,當黑客進行一項加密貨幣交易,可同時在區塊鏈的 signature script 上儲存一段容量約 80 bytes 的資料,而交易一經核實,這些資料將無法被修改,所以黑客便將控制中心的位址儲存在這宗交易內,即使控制中心被破壞,黑客只須重新再做一宗交易,並將新控制中心的位置儲存在 signature script 中,Glupteba 殭屍程式便可根據搜索同一個電子錢包內的資料及解讀私鑰,取得新的控制中心位址,令兩者之間的聯繫得以持續。

    研究員指出,Glupteba 並非首個使用這種方法的黑客集團,勒索軟件集團 Cerber 早於 2019 年已開始透過這方法去散播惡意負載。而要建立這類攻擊,黑客一般需時半年去部署,因此近來被捕捉到的 Glupteba 惡意攻擊,實際上早於今年 6 月已啟動。

    Nozomi 方面已詳細列出 Glupteba 行動中所使用的電子錢包交易位址,另外亦上載了詳細的威脅指標(indicators of compromise, IoCs)資料,企業 IT 管理員應保持更新位址及威脅,便可有效阻止 Glupteba 的攻擊。

    資料來源:https://www.securityweek.com/glupteba-botnet-still-active-despite-googles-disruption-efforts

    相關文章:【超級病菌】殭屍網絡專攻Minecraft私人伺服器 MCCrash具備內部網絡滲透能力

    #Bitcoin #Glupteba #google #殭屍程式 #網絡安全

    相關文章