小心你的 Linux 机器变身挖矿机器人

F5 Networks 的安全研究人员发现了一个新的 Linux 加密僵尸网络，并将其命名为"PyCryptoMiner"，它主要的攻击目标是具有公开 SSH 端口的 Linux 系统。

根据研究人员的描述，PyCryptoMiner 主要包括以下五个特性：

• 基于 Python 脚本语言，这意味着很难被检测出来

• 在原始命令和控制(C&C)服务器不可用时，会利用 Pastebin[.]com（在用户名"WHATHAPPEN"下）接收新的 C&C 服务器分配

• 域名注册人与超过 3.6 万个域名相关联，其中一些域名自 2012 年以来一直以诈骗、赌博和成人服务而闻名

• 被用于开采一种深受网络犯罪分子青睐且具备高度匿名性的加密货币——门罗币(Monero)。截至 2017 年 12 月下旬，PyCryptoMiner 已经开采了大约价值 4.6 万美元的门罗币

• 利用 CVE-2017-12149 漏洞，在 12 月中旬推出了针对易受攻击的 JBoss 服务器的新扫描功能

与二进制恶意软件替代方案不同，基于 Python 脚本语言，使得 PyCryptoMiner 更容易被混淆、更具规避性。此外，它也是由一个合法的二进制文件执行的。

PyCryptoMiner 通过尝试猜测目标 Linux 设备的 SSH 登录凭证进行传播，如果成功，它将部署一个简单的 base64 编码的 Python 脚本，用于连接 C&C 服务器以下载和执行额外的 Python 代码。

这个 Python 脚本还会收集有关受感染设备的信息，包括主机/DNS名称，操作系统名称和架构、CPU 数量以及 CPU 使用率，它还会检查设备是否已经受到感染，以及受感染的设备是否用于门罗币挖掘或扫描。

研究人员通过 Pastebin[.]com 页面提供的信息确认，PyCryptoMiner 可能在 2017 年 8 月就已经启动。在调查中，该资源已被查看了 177987 次，且每天大约会增加 1000 次左右。

在查询这些 C&C 服务器的域名"zsw8.cc"时，发现注册人名称是"xinqian Rhys"

域名注册人与超过 3.6 万个域名相关联，其中一些域名自 2012 年以来一直以诈骗、赌博和成人服务而闻名。

PyCryptoMiner 使用了两个钱包地址，分别有 94 和 64 个门罗币，价值约为 4.6 万美元。

文章转载自 开源中国社区 http://www.oschina.net

题图：pexels，CC0 授权。