Sophos 發現加密貨幣挖礦程式 “MrbMiner” 的幕後推手

Sophos發表一篇有關 MrbMiner 的最新報告：《MrbMiner：繞過國際制裁的加密劫持》，並追踪到其起源並受控於一家位於伊朗的小型軟體開發公司。

MrbMiner 是一個最近被發現的加密挖礦程式，它會鎖定服務網際網路的資料庫伺服器 (SQL Server)，並且下載並安裝一個加密挖礦程式。資料庫伺服器是非常吸引加密劫持者的目標，因為它們適用於資源密集的操作，因此具有強大的處理能力。

SophosLabs 發現， 攻擊者利用多種方法在目標伺服器上安裝惡意挖礦軟體，並將惡意挖礦程式裝載和設定檔封裝成故意命名錯誤的 zip 檔。

在挖礦程式的主要設定檔中，我們發現了一家位於伊朗的軟體公司的名稱。該網域連線到許多同樣包含挖礦程式副本的 zip 檔。這些 zip 檔又會從其他網域依序被下載，其中一個是 mrbftp.xyz。

SophosLabs 威脅研究總監 Gabor Szappanos 表示：「從很多方面來說，MrbMiner 的動作是大多數加密挖曠程式攻擊典型代表，而這些攻擊都是鎖定服務網際網路的伺服器。區別在於攻擊者已經更小心地隱瞞自己的身分。許多和挖礦程式有關的設定、網域和 IP 地址，都指向同一個來源：一家位於伊朗的小型軟體公司。

在這個勒索軟體攻擊代價不斐的時代，人們很容易將加密劫持視為一種騷擾而非嚴重的威脅，但這是錯誤的。加密劫持是一種無聲、無形的威脅，易於操作且很難偵測到。此外，一旦系統受到威脅，就會為其他威脅 (如勒索軟體) 打開大門。因此，重要的是中斷加密劫持的進行。請注意一些跡象，例如電腦速度和效能下降、用電量增加、設備過熱，以及對 CPU 的需求增加等。」

如需 MrbMiner 和其他網路威脅的更多資訊，請參見  SophosLabs Uncut，Sophos 研究人員會定期發布最新研究成果和突破性的發現，例如《Kingminer 加劇攻擊的複雜性》、《Lemon_Duck 加密挖礦程式會鎖定雲端應用程式和 Linux》，以及《MyKings 殭屍網路傳播令人頭痛》，《加密挖礦程式 和 Forshare 惡意軟體》等。研究人員可以在 Twitter 上 @SophosLabs 即時關注 SophosLabs Uncut。

偵測和入侵指標

Sophos 根據 Troj / Miner-ZD 特徵碼偵測到 MrbMiner 的加密挖礦程式樣本。其他危害指標已發布到 SophosLabs Github。

其他資源

• 透過《Sophos 2021 年威脅報告》了解組織目前和新興威脅的更多資訊，包括勒索軟體。

• 如要阻止勒索軟體攻擊，請閱讀《攻擊者存在的五個早期指標》

• 了解 Sophos Rapid Response 服務 的更多資訊，該服務可即時中斷攻擊

• 由我們獲獎的 Naked Security News 取得最新的安全新聞和觀點，並由 Sophos News 觀看更多關於我們的介紹。

• 隨時和 Sophos 連線：Twitter、LinkedIn、Facebook、Spiceworks 和 YouTube

關於 Sophos
Sophos 是新一代網路安全的世界領導廠商，為全球 150 個國家近  400,000 家不同規模的機構防禦現今最先進的網路安全威脅。Sophos 具備人工智慧的雲端原生解決方案以全球威脅情報與資料科學團隊 SophosLabs 作為後盾，保護筆記型電腦、伺服器和行動裝置等端點以及網絡，抵禦網路罪犯不斷演變的策略及手法，包括自動和主動攻擊、勒索軟體、惡意軟體、漏洞利用、資料外洩、釣魚郵件等。屢獲殊榮的 Sophos Central 雲端平台可將 Sopho 旗下 Intercept X 端點方案到 XG Firewall 等頂級的產品組合，結合成單一系統 Synchronized Security。Sophos 產品透過由 53,000 多家合作夥伴與託管式服務供應商 (MSP) 所組成的全球通路網路供應。Sophos 亦透過 Sophos Home 為消費者提供創新的商用技術。Sophos  總部設於英國牛津，並於倫敦股票交易所上市，代號 SOPH。如需更多資訊，請瀏覽 www.sophos.com。