殭屍網絡盯上微軟黑客用MSSQL 數據庫挖礦近兩年

前不久，微軟剛剛宣布聯合35 個國家摧毀了全球最大的殭屍網絡之一Necurs，最近，微軟卻被殭屍網絡Vollgar 盯上近兩年。殭屍網絡Vollgar 入侵微軟近兩年，每天攻擊近3000個數據庫

近日，Guardicore Labs團隊發布了一份長期攻擊活動的分析報告，此攻擊活動主要針對運行MS-SQL服務的Windows系統。分析報告稱，此攻擊活動至少從2018年5月開始，將近兩年，這一系列的攻擊活動被命名為“ Vollgar ”。

Vollgar 攻擊首先在MS-SQL 服務器上進行暴力登錄嘗試，成功後，允許攻擊者執行許多配置更改以運行惡意MS-SQL 命令並下載惡意軟件二進製文件。

該惡意軟件通過暴力破解技術成功獲得控制權後，便使用這些數據庫來挖掘加密貨幣。當前，正在開采的加密貨幣是V-Dimension（Vollar）和Monero（門羅幣）。

此外，Vollgar 背後的攻擊者還為MS-SQL 數據庫以及具有較高特權的操作系統創建了新的後門賬戶。

初始設置完成後，攻擊會繼續創建下載器腳本(兩個VBScript 和一個FTP 腳本)，這些腳本將“多次”執行，每次在本地文件系統上使用不同的目標位置來避免可被發現。

其中一個名為SQLAGENTIDC.exe/SQLAGENTVDC.exe 的初始有效負載首先會殺死一長串進程，目的是確保最大數量的系統資源，消除其他威脅參與者的活動，並從受感染的計算機中刪除它們的存在。

值得注意的是，61％的計算機僅感染了2 天或更短的時間，21％的計算機感染了7-14 天以上，其中17.1％的計算機受到了重複感染。後一種情況可能是由於缺乏適當的安全措施而導致在首次感染服務器時無法徹底消除該惡意軟件。

報告中稱，每天有2-3千個數據庫在Vollgar攻擊活動中被攻陷，其中包括中國、印度、韓國、土耳其和美國等國家，受影響的行業涵蓋醫療、航空、IT、電信、教育等多個領域。

除了消耗CPU 資源挖礦之外，這些數據庫服務器吸引攻擊者的原因還在於它們擁有的大量數據。這些機器可能存儲個人信息，例如用戶名、密碼、信用卡號等，這些信息僅需簡單的暴力就可以落入攻擊者的手中。

有點可怕。

如何自查？

那麼，有沒有什麼辦法能提前抵禦這種攻擊呢？

為了幫助感染者，Guardicore Labs 還提供了PowerShell 自查腳本Script – detect_vollgar.ps1，自查腳本detect_vollgar.ps1 可實現本地攻擊痕跡檢測，檢測內容如下：

1. 文件系統中的惡意payload ；

2. 惡意服務進程任務名；

3. 後門用戶名。

附腳本下載鏈接：

https://github.com/guardicore/labs_campaigns/tree/master/Vollgar

同時，該庫還提供了腳本運行指南和行動建議，其中包括：

引用來源：

WONGCW 網誌