MrbMiner (вирус-майнер)

2020: Заражение тысяч Microsoft SQL Server

В середине сентября 2020 года стало известно о распространении вируса под названием MrbMiner, который атакует системы Microsoft SQL Server (MSSQL) и используется для добычи криптовалют. Об этой угрозе рассказали специалисты по информационной безопасности Tencent Security.

По их словам, ботнет распространяется исключительно путем сканирования интернет-пространства на серверы MSSQL, а затем выполняет брутфорс-атаку (подбор пароля путем перебора вариантов), неоднократно пытаясь использовать учетную запись администратора со слабыми паролями.

После компрометации цели атакующие загружают файл assm.exe, служащий для связи с управляющим сервером, установки механизма персистентности, способного выдержать перезагрузку, а также для добавления бэкдора в виде учетной записи с логином Default и паролем @fg125kjnhn987. На последнем этапе на систему загружается приложение для майнинга криптовалюты.

Вирус-майнер MrbMiner заразил тысячи Microsoft SQL Server

В результате мониторинга вредоносной активности удалось установить новый вредоносный троян-майнер MrbMiner. Атакующие вторгались на серверы благодаря слабым паролям SQL Server, а затем устанавливали вредонос assm.exe, написанный на C#, — говорится в сообщении Tencent Security.

Исследователи заметили интересную особенность — хотя вирус заражает только серверы под управлением Windows с базами данных Microsoft SQL, на сервере управления ботнетом имеются версии для Linux и для систем на процессорах ARM.

После исследования кошельков, на которые перечисляются добытые монеты, аналитики сообщили, что на кошельке для Windows-версии вируса хранится около 7 XMR ($630), а на кошельке для Linux-версии — 3.38 XMR ($300). Впрочем, обычно злоумышленники используют множество кошельков, поэтому общие суммы добытой криптовалюты могут быть значительно больше.^[1]

Смотрите также

Примечания