一個(gè)龐大的僵尸網(wǎng)絡(luò)正利用YouTube挖掘門(mén)羅幣XMR
文 | 孫曜
火星財(cái)經(jīng)APP(微信：hxcj24h)一線(xiàn)報(bào)道，網(wǎng)絡(luò)安全公司ESET表示，Stantinko僵尸網(wǎng)絡(luò)已將加密采礦功能添加到其犯罪活動(dòng)中，他們正利用YouTube的描述文本代理分發(fā)加密采礦模塊，該模塊可開(kāi)采隱私幣門(mén)羅(Monero)。
網(wǎng)絡(luò)安全公司ESET近期發(fā)布的一份報(bào)告(Stantinko Botnet Adds Cryptomining Criminal Activities)揭露，Stantinko僵尸網(wǎng)絡(luò)的操縱者使用了一種新手段擴(kuò)展他們的工具集，并在其控制的用戶(hù)終端中分發(fā)了一個(gè)加密采礦模塊，這個(gè)采礦模塊可以用來(lái)挖掘門(mén)羅幣(Monero)。報(bào)告指出至少自 2018 年 8 月以來(lái)，這種方式代替?zhèn)鹘y(tǒng)的點(diǎn)擊欺詐，廣告注入，社交網(wǎng)絡(luò)欺詐和密碼竊取，成為僵尸網(wǎng)絡(luò)的主要獲利功能。
Stantinko僵尸網(wǎng)絡(luò)最初于 2017 年被發(fā)現(xiàn)(盡管自 2012 年以來(lái)一直秘密的運(yùn)行)，據(jù)報(bào)道已感染了全球超過(guò) 50 萬(wàn)臺(tái)設(shè)備，主要針對(duì)俄羅斯，哈薩克斯坦，白俄羅斯和烏克蘭的終端。ESET在報(bào)告中表示，Stantinko新模塊的混淆方式阻礙了分析并避免了檢測(cè)，由于源級(jí)混淆的使用具有一定的隨機(jī)性，而且Stantinko的運(yùn)算符會(huì)為每個(gè)新的受害者編譯此模塊，因此該模塊的每個(gè)樣本都是唯一的。所以目前追蹤它的每個(gè)微小的改變都異常艱難。
ESET報(bào)道的Stantinko利用youtube挖掘門(mén)羅幣事件與此前的Coinhive事件不同，Stantinko使用的采礦模塊是xmr -stak開(kāi)源礦機(jī)的高度修改版本，該模塊通過(guò)挖掘加密貨幣來(lái)耗盡受感染機(jī)器的大部分資源。為了逃避檢測(cè)，刪除了所有不必要的字符串甚至整個(gè)功能。其余的字符串和函數(shù)被嚴(yán)重混淆。ESET安全產(chǎn)品將此惡意軟件檢測(cè)為Win {32，64} /CoinMiner.Stantinko。
CoinMiner.Stantinko不會(huì)直接采礦池通信，而是通過(guò)其IP地址從YouTube視頻的描述文本中獲取的代理進(jìn)行通信。ESET表示銀行惡意軟件Casbaneiro使用了一種類(lèi)似的技術(shù)來(lái)隱藏YouTube視頻描述中的數(shù)據(jù)。Casbaneiro使用看起來(lái)更為合法的渠道和描述，但目的大致相同：存儲(chǔ)加密的C&Cs。
ESET表示已將黑客使用視頻編碼手段告知YouTube;包含這些視頻的所有頻道均已被刪除。
<