TACERT台灣學術網路危機處理中心

[技術]新的殭屍網路藏在區塊鏈的DNS Mist中並會移除加密貨幣挖礦程式

發佈日期：2018-09-18

參考位址： https://www.bleepingcomputer.com/news/security/new-botnet-hides-in-blockchain-dns-mist-and-removes-cryptominer/

消息內容：

新的殭屍網路藏在區塊鏈的DNS Mist中並會移除加密貨幣挖礦程式

新聞來源：BLEEPING COMPUTER

目前一種新型殭屍網路有著近乎其無害的行為和使用原始通訊通道與其C&C的方法，這種特殊的行為讓研究人員注意到他。

Fbot是Mirai的一個特殊變體，雖然它保留了原來的DDoS模組，但似乎沒有使用它。這還不是最奇怪的事情，它的目的居然是搜索被惡意挖礦軟體感染的設備並清除它們。

Qihoo 360網路實驗室(Qihoo's 360Netlab)的安全研究人員發現了這種新病毒，並注意到它找到了一種名為“com.ufo”的僵屍網路惡意軟體。這是ADB的一個已知變體。在Android設備(智慧手機、智慧電視、機上盒)上挖掘Monero的礦商。

Fbot推出惡意挖礦軟體

Fbot通過掃描開放port 5555的設備散播，這個port在這些Android設備上是被ADB (Android Debug Bridge)服務使用，然後他會通過ADB介面找尋惡意腳本。

惡意腳本的功能之一是卸載com.ufo。惡意挖礦軟體。另一種方法是下載主payload Fbot，它嵌入了聯繫命令和控制(C2)伺服器的詳細資訊。第三個功能是自毀。

Fbot似乎相對針對以前感染過com.ufo.miner的系統來影響。因為它尋找與挖礦活動相關的程式(SMI, RIG, XIG)，並刪除它們。

躲在區塊鏈後

研究人員稱，Fbot為C&C伺服器選擇了一個可以通過分散網域名稱系統(DNS)訪問的功能變數名稱，該系統通過點對點網路共用功能變數名稱，使其更難跟蹤和刪除。

C&C變數名稱musl.lib不是標準的DNS功能變數名稱。它的頂層網域名。lib沒有註冊到ICANN，也不能被傳統的DNS系統決定。

功能變數名稱通過EmerDNS解析，EmerCoin是基於區塊鏈的DNS，該平臺提供從EMC、COIN、LIB和BAZAR名稱空間註冊功能變數名稱，並通過自己的DNS伺服器提供。

EmerCoin現在與OpenNIC(傳統頂層網域名註冊的最大替代品)達成了對等協定，可以解決它們的功能變數名稱問題。

研究人員指出:“Fbot選擇使用EmerDNS除了傳統的DNS很有趣,它提高了安全研究員找到並追蹤殭屍網路的難度(安全系統將會失效如果他們只尋找傳統的DNS名稱),也很難sinkhole C&C domain,至少不適用於ICANN中已經有的”。

Fbot的技術細節很吸引人，目前尚不清楚它是一個善心人士的作品，還是一個希望擺脫其他挖礦程式對手的作品。然而他一些使用的方法卻可能會更受網路犯罪分子的歡迎，他們希望保護自己的業務。目前可以確定的是，Fbot消除了惡意挖礦軟體，並取代了受害者的系統。

回最新消息列表頁