Telegram被用在云计算Windows Server发动挖矿攻击

Splunk安全研究人员发现一桩挖矿攻击,黑客结合Telegram作为攻击工具,锁定Amazon Web Service(AWS)上的Windows Server植入挖矿软件。

Splunk近日侦测到的一个挖矿僵尸网络(crypto botnet),黑客使用了加密通信程序Telegram作为C&C(command and control)架构的一部分,用它来控制传播在网络上的僵尸网络程序。Splunk分析发现攻击IP来源,背后的攻击者锁定AWS中激活远程桌面协议(Remote Desktop Protocol,RDP)的Windows Server系统,并利用僵尸网络来控制。

Telegram是新兴的加密通信程序。截至今年1月,Telegram包含iOS及Android版,已是下载次数最多的应用程序。它还有桌面版,可通过Telegram API集成行动账号。该API也能用于远程执行指令。而这也是这次黑客得以发动攻击的主要渠道。

在这次攻击中,黑客首先是锁定AWS中激活RDP协议的Windows Server。攻击者以RDP暴力破解工具,来破解采用弱密码防护的Windows Server。成功访问后,就在Windows Server中植入NL Brute、KPort Scan和NLA Checker等黑客论坛中找到的特定攻击工具,进而安装Telegram Desktop,当成C&C基础架构的一部分,并且在受害系统中植入采矿程序,如minergate和xmrig,两者都是用来产生门罗币(Monero)的工具。

图片来源_Splunk

Splunk研究团队发现到其中一个电子钱包和2018年的一宗挖矿攻击有关,只是这次还用上了Telegram。

研究人员建议企业防范方法包括定期更新修补程序,使用强密码,此外,研究人员建议,RDP激活域名层认证(Network-Level Authentication),通常可防范部分暴力破解工具及非Windows RDP用户端的访问企图。

发表评论