RDP服務之GoldBrute僵屍網絡

最近的網絡攻擊活動中，可能要數BlueKeep漏洞的討論熱度最高了。但近日研究人員警告稱，新發現的GoldBrute僵屍網絡目前對Windows系統構成了不亞於BlueKeep帶來的威脅。

1. 概覽

安全研究人員已經發現了一個持續複雜的僵屍網絡活動，該活動目前在互聯網上暴力攻擊了超過150萬臺可公開訪問的Windows RDP(遠程桌面協議)服務器。GoldBrute僵屍網絡由一個C2(命令和控制)服務器控制，與位於美國新澤西州的IP地址(104.156.249.231)相關聯。

這個被稱爲GoldBrute的僵屍網絡可以經過不斷添加新的破解系統，從而進一步尋找新的可用RDP服務器，而後破解它們。爲了躲避安全工具和惡意軟件分析師的檢測，此惡意活動背後的威脅行爲者命令其僵屍網絡中每臺受感染的設備使用惟一的用戶名和密碼組合，使得目標服務器接收來自不一樣IP地址的暴力破解嘗試。

2. 攻擊流程

由網絡安全機構Morphus Labs的首席研究員Renato Marinho發現的該惡意活動，其具體流程以下圖所示：

第一步：在成功暴力破解RDP服務器後，攻擊者會在此設備上安裝一個基於Java的GoldBrute僵屍網絡惡意軟件。
第二步：爲了控制受感染的設備，攻擊者利用一個固定集中的C2(命令和控制)服務器，經過AES加密的WebSocket鏈接交換命令和數據。
第3、四步：隨後，每臺受感染的設備都會收到第一條任務指令，即掃描並報告至少80臺可公開訪問的新RDP服務器列表，這些服務器能夠被暴力破解。
第5、六步：攻擊者爲每臺受感染設備分配一組特定的用戶名和密碼，做爲其第二條任務指令，它們須要針對上述列表中的RDP服務器進行破解嘗試。
第七步：在成功破解後，受感染設備會自動向C2服務器上傳登陸憑據。

目前還不清楚到底有多少臺RDP服務器已經遭到破壞，並參與了針對互聯網上其餘RDP服務器的暴力攻擊。
彼時，研究員經過快速Shodan搜索顯示，大約240萬臺Windows RDP服務器能夠在互聯網上公開訪問，其中可能有一半以上的服務器正在遭遇暴力破解攻擊。