Майнинговый ботнет Vollgar взламывает серверы Microsoft SQL уже два года

Эксперты компании Guardicore обнаружили майнинговый ботнет Vollgar, который брутфорсит базы данных Microsoft SQL, чтобы перехватить контроль над учетной записью администратора, захватить сервер и установить на него майнеры криптовалют Monero и Vollar.

Отчет исследователей гласит, что угроза активна как минимум с мая 2018 года и в настоящее время заражает примерно 2000-3000 новых БД в день.

Исследователи пишут, что брутфорс-атаки на БД MSSQL используют более 120 IP-адресов, причем большинство из них расположены в Китае. Предположительно, злоумышленники используют для поиска и заражения новых жертв ранее скомпрометированные машины. Некоторые из них участвовали лишь в нескольких инцидентах, тогда как ряд других IP-адресов был активен более трех месяцев.

Vollgar демонстрирует постоянную «текучку»: ботнет ежедневно теряет серверы и тут же добавляет новые. По данным Guardicore, более 60% всех взломанных серверов MSSQL остаются заражены Vollgar и майнинговой малварью в течение коротких периодов времени (в среднем до двух дней). Лишь 20% зараженных систем остаются инфицированными неделю и более.

Около 10% жертв страдают от повторных заграждений. Обычно это происходит потому, что администраторы не удаляют все компоненты малвари должным образом, оставляя возможность для ее переустановки.

Чтобы помочь жертвам справиться с проблемой надлежащим образом специалисты Guardicore создали специальный репозиторий на GitHub, где разместили скрипты для обнаружения файлов и бэкдор-аккаунтов, создаваемых Vollgar.

Специалисты компании отмечают, что в настоящее время в интернете в общей сложности действуют примерно 30 майнинговых ботнетов. Ежедневно они контролируют тысячи или даже десятки тысяч машин по всему миру. Большинство из них не привязаны к конкретным технологиям, как Vollgar к MSSQL. Так, в Топ-5 самых сканируемых портов и протоколов входят SSH, SMB, FTP, HTTP и MS-SQL.

Большинство таких ботнетов по-прежнему сосредоточены на майнинге криптовалюты Monero. Однако добывать Monero постепенно становится все труднее, поэтому хак-группы постепенно переходят к менее известным монетам, такими как Vollar (ботнет Vollgar) или TurtleCoin (ботнет Nansh0u).

Мария Нефёдова: Блондинка, гик, книжный червь, синефил. Редактор ленты новостей; иногда автор Сцены.
Похожие материалы