Stantinko 僵尸网络正在瞄准 Linux 服务器以隐藏代理

至少自2012年以来，一个广告软件和投币商僵尸网络以俄罗斯、乌克兰、白俄罗斯和哈萨克斯坦为目标，目前已将目光投向了Linux服务器。

Intezer的分析报告指出，该木马伪装成Linux服务器上常用的HTTPd程序，它是一个新版本恶意软件，被跟踪为Stantinko。

早在2017年，ESET的研究人员就详细描述了一个庞大的广告软件僵尸网络，它通过欺骗寻找盗版软件的用户下载伪装成torrents的恶意可执行文件，安装执行广告注入和点击欺诈的流氓浏览器扩展程序。该僵尸网络控制着50万台机器，以加密挖矿的形式从他们控制的计算机中获利。

尽管Stantinko传统上是一个Windows恶意软件，但他们存在针对Linux的扩展工具。ESET观察到一个Linux木马代理通过恶意二进制文件部署在受损服务器上。

Intezer的最新研究提供了对该Linux代理的全新见解，特别是同一恶意软件（v1.2）的较新版本（v2.17），称为“httpd”，其中一个恶意软件样本已于11月7日从俄罗斯上传到VirusTotal。

执行后，“httpd”将验证与恶意软件一起提供的“etc/pd.d/proxy.conf”中的配置文件，并通过创建套接字和侦听器以接受研究人员认为是其他受感染系统的连接。

来自受感染客户机的HTTP Post请求传递到受攻击者控制的服务器上，然后该服务器使用代理转发回客户端进行响应。

如果未受感染的客户端向受损服务器发送HTTP Get请求，则会发回HTTP 301重定向到配置文件中指定的预配置URL。

Intezer的研究人员指出，新版恶意软件只起到代理的作用，新变种与旧版本共享多个函数名，一些硬编码路径与之前的Stantinko活动有相似之处。

“Stantinko是最新一个针对Linux服务器的恶意软件，这种恶意软件与利用受损Linux服务器的攻击活动有很大联系。”

消息及封面来源：The Hacker News ；译者：芋泥啵啵奶茶。

本文由 HackerNews.cc 翻译整理。

转载请注明“转自 HackerNews.cc ”