瞄準Windows的新殭屍網路程式Kraken，除了竊取用戶PC資訊還偷走加密貨幣錢包

安全廠商發現一隻具有多種能力的新殭屍網路程式Kraken，不但會竊取Windows PC資訊、還會挖礦及執行惡意程式。

這隻新發現的殭屍網路程式Kraken，和2018年發現同名的勒索軟體是不同的兩隻。安全廠商ZeroFox指出，Kraken早期版本於2021年10月上傳到GitHub， 屬於Golang專案，不過，究竟是該GitHub專案屬於惡意組織，或是駭客利用GitHub專案來撰寫Kraken則不得而知。

圖片來源／ZeroFox Intelligence

Kraken背後的目的為何不明，但研究人員指出，雖然它功能很簡單，但功能快速增進中，目前已具有滲透潛伏、蒐集主機資料、下載和執行惡意檔案、執行shell指令、取得網路擷圖、竊取加密貨幣錢包等多種功能。

目前的Kraken版本是經由後門程式SmokeLoader下載RAR SFX檔到Windows PC，再解封包安裝。而利用SmokeLoader後門散布，使攻擊者每次轉換到新的C&C伺服器時，就能快速感染數百臺電腦。

圖片來源／ZeroFox Intelligence

安裝時Kraken會用兩個方法維持長駐在PC中。首先，它透過執行Powershell指令告訴Microsoft Defender防毒引擎跳過Kraken安裝的目錄，二是執行attrib隱藏指令，使其複製的.EXE檔無法經由檔案總管顯示。此外它還會加入新機碼以便每次用戶登入Windows PC都會執行一次。

從去年10月到12月，Kraken行動主要是散布竊密工具，特別是RedLine Stealer以蒐集PC的資料回傳給外部C&C伺服器。上周HP安全研究人員才發現，另一波攻擊透過偽裝Windows更新程式，誘使用戶安裝 RealLine竊密程式。而在這波攻擊中，Kraken蒐集的資料包括主機和用戶名稱、Windows 版本、CPU及GPU資訊等等，外部駭客還可下達擷圖指令以C&C接收資訊。

ZeroFox也觀察到某些受害者電腦被Kraken安裝了其他竊密程式及挖礦軟體。目前它已經每月進帳3,000美元。

研究人員建議用戶將防毒及入侵偵測軟體更新到最新版、啟動雙因素驗證以降低釣魚及帳號填充（credential stuffing）攻擊，並避免開啟來路不明的信件附檔或連結。