云服务首要威胁分析:用户如何保护自己的资产?

随着云计算技术的逐渐成熟,云服务凭借高效的管理模式、便捷的使用方式和灵活的付费方式受到了企业、政府、个人用户的青睐。然而,巨大的市场背后也对云服务商的运营、维护提出了不小的挑战。一旦云端服务器被不法分子攻击,用户数据将面临严重的安全威胁。

正因为便捷,许多人就花几分钟开个服务器,然后就专心于业务的开发和部署了,对于服务器运维方面,则没那么关注。这很像之前面向普通用户的软件所提倡的“click it, then forget it”,使用体验很赞;然而也正是“forget it”,造成了巨大的安全隐患。

腾讯安全旗下腾讯安全联合实验室反病毒实验室和腾讯安全联合实验室云鼎实验室联合响应小组,就发现的多起针对腾讯云Win平台的入侵和资源盗窃攻击进行了分析,这些攻击主要集中在内网入侵、挖矿、肉鸡利用、DDoS等方面。

为了让用户不受恶意软件侵扰,通过腾讯云安全中心情报联动机制,我们帮助用户清除和防范了这些威胁,让用户自己的资源完全掌控在自己手里。

那么在云端黑客最喜欢的攻击和攻击后的利用方式是什么?我们该如何防范这些风险呢?请看下文。

云端首要威胁

我们分析了这些攻击中所使用的恶意软件样本,并对样本拦截情况做了相关统计,Top5的样本拦截次数如下:

来自LapKa后门家族的样本攻击非常频繁,几乎是其他几个家族病毒的总和。

同时这5类样本的新样本增加也非常多,高峰时期最高达到90/天左右:

病毒频繁的活动引起了我们的注意,接下来,我们就对这几类病毒抽丝剥茧,详细审视一番。

威胁详解

那么这些威胁有什么特点呢?一般通过什么途径在云上传播呢?让我们接着看:

1,Nitol僵尸网络家族,腾讯反病毒服务检出为Lapka和Macri。会感染内网其他机器。

我们在多台服务器上检出了该样本五花八门的变种。之所以感染范围如此之广,是因为此类变种会扫描内网然后暴力破解其他主机登录密码,破解后部署变种在上边。然后控制服务器发动DDoS攻击,监控你的业务,等等。

详细分析:

1. 木马在运行开始时设置自身的服务名,并且检查该服务是否已安装在注册表中,若已安装则启动服务,若未安装则将自身拷贝到系统目录,安装该服务,创建注册表,并启动服务。

2. 服务启动之后,会尝试使用内置的弱口令字典对内网进行爆破,若爆破成功则对内网机器进行感染传播,将自身以特定的文件名复制到内网机器的各磁盘上,并远程启动该服务。

3. 服务启动后,木马与远程C&C控制端开始通信,将本机的系统版本、机器名称、系统的启动时间、CPU频率、内存大小等信息上传至控制端,同时接收并执行远程控制端发送的命令,包括下载文件、打开IE浏览器、进行DDoS攻击等。

4. Nitol样本除了暴力破解内网之外,一般和NSA公布的Shadowbreakers漏洞利用套件结合起来传染部署。在受到感染的机器上,很多都同时存在该漏洞套件的文件。下图是在我们帮助下清理威胁的一位客户机器上的漏洞套件文件:

2,Remoh,CoinMiner家族。入侵后偷偷在后台挖矿。

这类样本会偷偷地在后台挖矿,耗掉你大部分cpu资源。

更可恶的是该样本家族在内网还会通过ftp感染其他机器。同时,此类样本还会伪装成屏保或者正常进程,防止用户发现:

详细分析:

Remoh,CoinMiner家族样本会通过嵌入在网页上的IFRAME标签来强制浏览器下载木马文件,在用户不知情的情况下在用户电脑启动挖矿进程,占用用户计算资源。

1. 木马在启动之后把自身复制到各个磁盘的根目录。挖矿使用的矿池地址编码在木马中,并且将矿池信息存储在temp目录下的文档中。

2. 木马挖矿进程所需的参数包括矿池地址、挖矿协议、线程数、钱包地址、密码,其中池地址从文档中获取,同时可以得知所使用的挖矿协议为stratum,其他参数均是从特定网页中取到。

直接取到的内容为加密数据,以下为其解密算法:

解密后木马挖矿进程开始进行挖矿,以下为其中一个运行示例:

4. 木马为了传播自身,会通过弱口令字典尝试访问内网的其他机器,也向多个ip地址发起ftp请求,一旦访问成功则将自身复制到其他机器的各个磁盘,以达到传播自身的目的。

3,Farfli家族。通过感染宿主文件,使宿主文件具备后门能力。

这类样本会感染常用EXE文件,染毒的文件运行之后也会自动运行恶意代码,执行远控,继续感染其他文件,破坏于无形之中。非常可怕,防不胜防!

详细分析:

1. 木马启动后会复制自身到C:\Program Files\Microsoft ******\系统目录下,并且重命名为7个随机字符的名字,创建进程并添加注册表自启动项。

2. 然后通过运行新生成的一个vbs脚本将自身删除,同时再将该vbs脚本删除。

3. 启动的新进程解密出远程通信地址,建立起与远程控制端的通信连接,接收控制端发来的命令,包括获取并上传机器个磁盘的文件名、记录键盘操作、定时关机等:

防护小贴士

安全无小事,处处得留心。针对上述情况,我们准备了些安全小贴士,遵守这些规则可以帮助你规避大多数安全风险:

1, 服务器请勿使用Admin账户和弱密码。

2, 留意后台不合理资源消耗。

3, 确认使用的软件时原版文件。

4, 开启腾讯云上“云镜”主机防护服务,“云镜”已全面接入Tav反病毒引擎。无须担心上述威胁侵袭。

原创声明,本文系作者授权云+社区发表,未经许可,不得转载。

如有侵权,请联系 yunjia_community@tencent.com 删除。

编辑于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏企鹅号快讯

你的密码被破解了?看看你的Apple ID、邮箱密码是不是这些!

今天小沃本来想买元旦的车票来着,结果发现密码忘了,在输入两次错误以后,为了防止账户冻结选择了重新设置密码。卖票的 App 还不让设置太简单的密码,本来还想吐槽整...

3926
来自专栏FreeBuf

新加坡新保集团(SingHealth)网络攻击事件的可疑线索分析

近期,安全公司 Trustwave 旗下 SpiderLabs 实验室发现了可能与新加坡新保集团(SingHealth)网络攻击相关的一些信息线索,在前一篇文章...

692
来自专栏SAP最佳业务实践

SAP最佳业务实践:外委生产(249)-6委外采购发票校验

MIRO转包 PO 的发票收据 在该活动中完成发票校验。 后勤®物料管理®采购®采购订单®后继功能®后勤发票校验 1. 如果弹出输入公司代码 对话框,输入 公司...

2849
来自专栏企鹅号快讯

黑客术语基础知识快速了解

1.肉鸡:所谓“肉鸡”是一种很形象的比方,比方那些能够随意被我们操控的电脑,对方可所以Windows体系,也可所以UNIX/Linux体系,可所以一般的个人电脑...

31710
来自专栏FreeBuf

WanaCrypt0r“想哭”勒索蠕虫数据恢复可行性分析报告

目录 第一章 前言… 第二章 加密文件核心流程分析… 第三章 数据恢复可行性分析… 第四章 总结… 第一章 前言 近日,360互联网安全中心发现全球多个国家和地...

2026
来自专栏我的安全视界观

【一起玩蛇】fortify漏洞的学习途径

静态代码扫描工具(系统)不少,比较出名的可能有fortify、coverity...无论是公司购买或是网上论坛捡到的破解版,相比不少人都已经尝过fortify的...

1544
来自专栏FreeBuf

走近科学 | 伪基站诈骗分析

本文原创作者:Praise(漏洞盒子白帽子) 一、简介 先来说说伪基站:即假基站,设备一般由主机和笔记本电脑组成,通过短信群发器、短信发信机等相关设备能够搜取...

2149
来自专栏SAP最佳业务实践

想学FM系列(3)-SAP FM模块:主数据(1)

3、主数据 在FM当中主数据主要分成了两类:一类是账户分配要素,另一类是预算结构用到的地址(如预算地址、记账地址)。 3.1 账户分配要素-主数据 根据PSM及...

4148
来自专栏金融民工小曾

一文看懂银联云闪付二维码中的应用服务方如何接入

银联云闪付二维码推出以来,新增了应用服务方这一角色,最近详细研究了下,这篇文章给大家分享一下。

2442
来自专栏逸鹏说道

Android 5.0屏幕录制漏洞(CVE-2015-3878)威胁预警

0x00 摘要 低技术门槛的漏洞利用或木马制作隐藏着极大的安全威胁,当这种安全威胁遇上手机用户的低安全意识时可能导致Android平台恶意软件的大规模爆发。36...

3526

扫码关注云+社区