当前位置:最新资讯  >  ip  >  RDP服务器的梦魇——GoldBrute僵尸网络ip

RDP服务器的梦魇——GoldBrute僵尸网络ip

最近的网络攻击活动中,可能要数BlueKeep漏洞的讨论热度最高了。但近日研究人员警告称,新发现的GoldBrute僵尸网络目前对Windows系统构成了不亚于BlueKeep带来的威胁。

僵尸网络

1. 概览

安全研究人员已经发现了一个持续复杂的僵尸网络活动,该活动目前在互联网上暴力攻击了超过150万台可公开访问的Windows RDP(远程桌面协议)服务器。GoldBrute僵尸网络由一个C2(命令和控制)服务器控制,与位于美国新泽西州的IP地址(104.156.249.231)相关联。

全球RDP服务器分布

全球RDP服务器分布

这个被称为GoldBrute的僵尸网络能够通过不断添加新的破解系统,从而进一步寻找新的可用RDP服务器,然后破解它们。为了躲避安全工具和恶意软件分析师的检测,此恶意活动背后的威胁行为者命令其僵尸网络中每台受感染的设备使用唯一的用户名和密码组合,使得目标服务器接收来自不同IP地址的暴力破解尝试。

2. 攻击流程

由网络安全机构Morphus Labs的首席研究员Renato Marinho发现的该恶意活动,其具体流程如下图所示:

全球RDP服务器分布

第一步:在成功暴力破解RDP服务器后,攻击者会在此设备上安装一个基于Java的GoldBrute僵尸网络恶意软件。

第二步:为了控制受感染的设备,攻击者利用一个固定集中的C2(命令和控制)服务器,通过AES加密的WebSocket连接交换命令和数据。

第三、四步:随后,每台受感染的设备都会收到第一条任务指令,即扫描并报告至少80台可公开访问的新RDP服务器列表,这些服务器可以被暴力破解。

第五、六步:攻击者为每台受感染设备分配一组特定的用户名ip和密码,作为其第二条任务指令,它们需要针对上述列表中的RDP服务器进行破解尝试。

第七步:在成功破解后,受感染设备会自动向C2服务器上传登录凭据。

 

目前还不清楚到底有多少台RDP服务器已经遭到破坏,并参与了针对互联网上其他RDP服务器的暴力攻击。

彼时,研究员通过快速Shodan搜索显示,大约240万台Windows RDP服务器可以在互联网上公开访问,其中可能有一半以上的服务器正在遭遇暴力破解攻击。

 

公司地址:深圳市龙岗区横岗街道力嘉路115号2楼
客服 QQ:4333055(工作时间:24小时 x 7)
联系邮箱:go@vpnid.com
免责声明    |    使用条款    |    服务协议    |    VPN资质
© Copyright 2015-2019 [vpnid.com] 飘起科技, All rights reserved.   粤ICP备19006563号-1
用户不得利用飘起科技VPNID从事危害国家安全、泄露国家机密等犯罪活动,不能利用飘起科技VPNID查阅、复制和传播危害国家安全、妨碍社会治安和淫秽黄色信息,不能利用飘起科技VPNID发布恶意的、
向他人挑衅的信息,若用户违反,本公司有权立即停止服务并将向相关部门报告,一切后果由用户自行负责。