Tencent Yujian: Công cụ khai thác KingMiner đã kiểm soát hàng chục nghìn máy chủ

Đọc bài viết này mất 6 phút

KingMiner là một Trojan khai thác Monero nhắm vào máy chủ Windows MS SQL để tấn công nổ tung

Tin tức BlockBeats, Trung tâm tình báo mối đe dọa Yujian của Tencent Security đã phát hiện cuộc tấn công biến thể KingMiner. KingMiner là một Monero thực hiện các cuộc tấn công bùng nổ chống lại máy chủ Windows MS SQL. Trojan khai thác tiền xu. Trojan xuất hiện lần đầu vào giữa tháng 6 năm 2018 và hai phiên bản cải tiến nhanh chóng được tung ra sau đó. Những kẻ tấn công sử dụng nhiều kỹ thuật lẩn tránh khác nhau để vượt qua môi trường máy ảo và phát hiện bảo mật, khiến một số công cụ chống vi-rút không thể phát hiện chính xác.

Phiên bản hiện tại của KingMiner có các tính năng sau:

1. Tiến hành các cuộc tấn công bùng nổ chống lại MSSQL

2. Sử dụng bộ tính giờ WMI và các tác vụ theo lịch trình của Windows để tiến hành các cuộc tấn công liên tục;

3. Đóng dịch vụ RDP trên máy có lỗ hổng CVE-2019-0708 để ngăn chặn các nhóm khai thác khác xâm chiếm và độc quyền tài nguyên máy chủ để khai thác

4. Sử dụng base64 và được mã hóa cụ thể Các tệp XML, TXT và PNG để mã hóa chương trình Trojan

5. Sử dụng các tệp chữ ký từ Microsoft và nhiều nhà sản xuất nổi tiếng làm quy trình gốc để khởi chạy Trojan DLL với màu "trắng + đen".

Theo thống kê từ Trung tâm tình báo mối đe dọa Yujian của Tencent Security, KingMiner ảnh hưởng đến hơn 10.000 máy tính, trong đó các khu vực bị ảnh hưởng nặng nề nhất là Quảng Đông, Trùng Khánh, Bắc Kinh, Thượng Hải và những nơi khác.

Khuyến nghị về bảo mật

Tencent Yujian khuyến nghị các công ty nên thực hiện các biện pháp để giải quyết các đặc tính kỹ thuật của Trojan khai thác KingMiner Các biện pháp phòng thủ có mục tiêu:

1. Khắc phục lỗ hổng leo thang đặc quyền CVE-2019-0803 theo thông báo chính thức của Microsoft:

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0803

2. Củng cố máy chủ SQL Server và vá lỗi bảo mật máy chủ những điểm yếu. Sử dụng chính sách mật khẩu an toàn, sử dụng mật khẩu mạnh và không tiếp tục sử dụng mật khẩu yếu, đặc biệt là mật khẩu tài khoản sa, để ngăn chặn tin tặc bẻ khóa một cách thô bạo.

3. Sửa đổi cổng mặc định của dịch vụ SQL Sever, thay đổi cài đặt cổng 1433 mặc định dựa trên cấu hình ban đầu và đặt quy tắc truy cập để từ chối phát hiện cổng 1433.

4. Người dùng doanh nghiệp có thể triển khai Hệ thống quản lý bảo mật thiết bị đầu cuối Tencent Yudian trên máy chủ để ngăn chặn các cuộc tấn công như vậy.

5. Khuyến nghị các doanh nghiệp sử dụng Tencent Royal Hệ thống phát hiện mối đe dọa tiên tiến của thế giới phát hiện nhiều hành vi tấn công đáng ngờ khác nhau của các tin tặc chưa xác định. Hệ thống phát hiện mối đe dọa nâng cao Yujie là một hệ thống mô hình phát hiện độc hại và thông tin mối đe dọa độc đáo được phát triển dựa trên khả năng bảo mật của phòng thí nghiệm chống vi-rút của Tencent và dựa vào dữ liệu khổng lồ của Tencent trên đám mây và thiết bị cuối. (https://s.tencent.com/product/gjwxjc/index.html)