研究人員報(bào)告，有一個新的、仍在開發(fā)的、基于Golang的僵尸網(wǎng)絡(luò)，名為Kraken，其強(qiáng)大程度完全不像是一個新生的僵尸網(wǎng)絡(luò)：它使用SmokeLoader惡意軟件加載程序，正像野火一樣傳播，并且已經(jīng)為其運(yùn)營商賺取了3,000美元/月的可觀收入。

ZeroFox威脅研究員Stephan Simon在周三的一篇文章中寫道，雖然它的名字聽起來很熟悉，但Kraken與2008年的同名僵尸網(wǎng)絡(luò)幾乎沒有關(guān)系。

根據(jù)西蒙的帖子，Kraken利用SmokeLoader在目標(biāo)機(jī)器上安裝更多惡意軟件，每次部署新的命令和控制(C2)服務(wù)器時，都會收集數(shù)百個新機(jī)器人。

ZeroFox于2021年10月下旬發(fā)現(xiàn)了之前未知的僵尸網(wǎng)絡(luò)，該僵尸網(wǎng)絡(luò)仍在積極發(fā)展中。ZeroFox說，盡管它仍在開發(fā)中，但它已經(jīng)能夠從Windows主機(jī)中竊取敏感數(shù)據(jù)，能夠下載和執(zhí)行輔助有效負(fù)載，運(yùn)行shell命令并截取受害者系統(tǒng)的屏幕截圖。

Anubis面板

ZeroFox分享了Kraken面板初始版本的屏幕截圖——如下所示，C2被命名為“Kraken面板”——功能很精簡。它提供了基本統(tǒng)計(jì)數(shù)據(jù)、下載有效負(fù)載的鏈接、上傳新有效負(fù)載的選項(xiàng)以及與特定數(shù)量的機(jī)器人交互的方式。

西蒙指出：“這個版本似乎不允許運(yùn)營商選擇與哪些受攻擊者互動?！?/p>

但是，如下所示，Kraken的C2面板的當(dāng)前版本已經(jīng)完全重新設(shè)計(jì)并重命名為Anubis?！癆nubis面板為操作員提供的信息比原來的Kraken面板要多得多，”西蒙說，“除了之前提供的統(tǒng)計(jì)數(shù)據(jù)外，現(xiàn)在還可以查看命令歷史記錄和有關(guān)受害者的信息。”

獲取加密貨幣

Kraken的作者一直在修補(bǔ)、添加和刪除功能。此時，Kraken可以保持持久性，收集主機(jī)信息，下載和執(zhí)行文件，運(yùn)行shell命令，截圖，竊取各種加密貨幣錢包，包括Zcash、Armory、Atomic、Bytecoin、Electrum、Ethereum、Exodus、Guarda和Jaxx Liberty。

后來的迭代變得更加豐富，作者增加了對命令目標(biāo)的選擇性選擇(單獨(dú)或按組，而早期版本只允許機(jī)器人操作員選擇他們要瞄準(zhǔn)的受害者數(shù)量)、任務(wù)和命令歷史、任務(wù)ID、正在發(fā)送的命令、命令應(yīng)該發(fā)送給多少受害者、目標(biāo)地理位置以及任務(wù)啟動時間的時間戳。

起初，從2021年10月到2021年12月，每次Kraken襲擊時，RedLine信息竊取程序都會對受害者的機(jī)器造成影響。RedLine是一種日益流行的信息竊取程序，它從瀏覽器中竊取數(shù)據(jù)，例如保存的憑據(jù)、自動完成數(shù)據(jù)和信用卡信息。

然而，該惡意軟件已經(jīng)展開了它的觸角，不僅添加了其他中間人，還讓它的經(jīng)營者賺了一大筆錢。西蒙的文章稱：“隨著Kraken背后的運(yùn)營商繼續(xù)擴(kuò)張并收集更多受害者，ZeroFox開始觀察到正在部署的其他通用信息竊取者和加密貨幣礦工。”

截至周三，僵尸網(wǎng)絡(luò)每月的收入約為3,000美元，如下面的屏幕截圖所示。

我們目前尚不清楚運(yùn)營商計(jì)劃如何處理新機(jī)器人及其信息竊取者正在收集的所有數(shù)據(jù)，ZeroFox研究人員總結(jié)道：“目前尚不清楚運(yùn)營商打算如何處理收集到的被盜憑據(jù)，或者創(chuàng)建這個新僵尸網(wǎng)絡(luò)的最終目標(biāo)是什么。”

安全建議

ZeroFox傳遞了這些建議，以防止Kraken擾亂您的系統(tǒng)：

• 確保防病毒和入侵檢測軟件與所有補(bǔ)丁程序和規(guī)則集都是最新的。
•  為所有組織帳戶啟用雙重身份驗(yàn)證，以幫助減輕網(wǎng)絡(luò)釣魚和憑證填充攻擊。
•  維護(hù)定期安排的備份例程，包括異地存儲和完整性檢查。
• 避免打開未經(jīng)請求的附件，切勿單擊可疑鏈接。
• 盡可能多地記錄和監(jiān)控所有管理操作，警惕任何可疑活動。
• 查看網(wǎng)絡(luò)日志以了解是否存在數(shù)據(jù)泄露的潛在跡象。

本文翻譯自：https://threatpost.com/golang-botnet-pulling-in-3k-month/178509/如若轉(zhuǎn)載，請注明原文地址。