經(jīng)過(guò)前段時(shí)間“斷崖式”下跌之后，主流數(shù)字貨幣近期迎來(lái)“破發(fā)”，再次成為投資者追捧的寵兒。除正常“挖礦”以外，不法黑客也動(dòng)起了歪腦筋，通過(guò)種種攻擊手段，植入挖礦惡意程序獲取非法收益。近期，騰訊安全御見威脅情報(bào)中心監(jiān)測(cè)到黑產(chǎn)團(tuán)伙針對(duì)MS SQL服務(wù)器進(jìn)行弱口令爆破攻擊，進(jìn)而植入門羅幣挖礦木馬及anydesk遠(yuǎn)程控制軟件占有服務(wù)器，伺機(jī)侵占更多服務(wù)器資源謀取暴利。截止目前，該團(tuán)伙已入侵國(guó)內(nèi)超 500 臺(tái)企業(yè)服務(wù)器。
目前，騰訊御點(diǎn)終端安全管理系統(tǒng)已全面攔截并查殺該病毒。騰訊安全技術(shù)專家提醒企業(yè)網(wǎng)管，服務(wù)器被不法黑客暴力破解會(huì)導(dǎo)致企業(yè)關(guān)鍵業(yè)務(wù)信息泄露，建議盡快安裝服務(wù)器漏洞補(bǔ)丁，并停止使用弱口令，以防作惡團(tuán)伙攻擊。
(圖：騰訊御點(diǎn)終端安全管理系統(tǒng))
由于該團(tuán)伙與今年 4 月被曝的“貪吃蛇”挖礦木馬團(tuán)伙攻擊手法極為類似，病毒挖礦的同時(shí)還會(huì)封堵系統(tǒng)的135、139、 445 等常用端口，以防被攻占的系統(tǒng)再被其他黑產(chǎn)團(tuán)伙入侵控制。此外，在控制資源挖礦期間，其還會(huì)清除已被其他攻擊者控制的挖礦木馬。目前，安全廠商暫無(wú)法確定其是否歸屬于“貪吃蛇”挖礦木馬團(tuán)伙，騰訊安全技術(shù)專家將其命名為“貪吃蛇 2 號(hào)”。
經(jīng)分析，不法黑客會(huì)通過(guò)MS SQL爆破入侵服務(wù)器，隨后利用放置在TQ.exe資源的 6 個(gè)提權(quán)工具進(jìn)行提權(quán)，包括2015- 2018 年最為典型的提權(quán)漏洞，涵蓋Windows Vista、Windows 10、Windows Server系統(tǒng)。這意味著，攻擊者一旦掌握這一漏洞，短時(shí)間內(nèi)可獲得用戶的系統(tǒng)級(jí)別權(quán)限，并執(zhí)行低權(quán)限用戶無(wú)法執(zhí)行的惡意操作，以此大幅提升攻擊危害。
更為嚴(yán)重的是，利用MS SQL系統(tǒng)弱密碼攻擊是“貪吃蛇 2 號(hào)”團(tuán)伙的主要手段。一旦爆破入侵成功，其會(huì)利用提權(quán)漏洞采取進(jìn)一步的攻擊行動(dòng)，以便完全控制服務(wù)器。截至目前，“貪吃蛇 2 號(hào)”團(tuán)伙木馬傳播整體呈現(xiàn)小幅增長(zhǎng)趨勢(shì)。
在企業(yè)云計(jì)算發(fā)展的同時(shí),企業(yè)數(shù)據(jù)泄露已經(jīng)成為全球最常見的網(wǎng)絡(luò)安全事件之一。數(shù)據(jù)庫(kù)服務(wù)器被不法黑客暴力破解再完全控制，導(dǎo)致企業(yè)計(jì)算資源被惡意挖礦、企業(yè)關(guān)鍵業(yè)務(wù)信息泄露，同時(shí)入侵者還可能通過(guò)這些被控制的服務(wù)器繼續(xù)在內(nèi)網(wǎng)攻擊傳播，直接映射網(wǎng)絡(luò)信息安全隱患。
對(duì)此，騰訊安全反病毒實(shí)驗(yàn)室負(fù)責(zé)人馬勁松表示，建議廣大企業(yè)網(wǎng)管加固SQL Server服務(wù)器，修補(bǔ)服務(wù)器安全漏洞，使用安全的密碼策略，防止不法黑客暴力破解;同時(shí)修改SQL Sever服務(wù)默認(rèn)端口，在原始配置基礎(chǔ)上更改默認(rèn) 1433 端口設(shè)置，并且設(shè)置訪問(wèn)規(guī)則;推薦企業(yè)用戶可在服務(wù)器部署騰訊御點(diǎn)終端安全管理系統(tǒng)并及時(shí)更新安裝服務(wù)器補(bǔ)丁，防止相關(guān)病毒木馬利用windows提權(quán)漏洞發(fā)動(dòng)攻擊。
重慶分公司
重慶分公司
