事件速览

前不久，Microsoft还宣布联合35个国家摧毁了全球最大的僵尸网络之一Necurs，而近段时间，据网络安全团队发布的分析报告显示，MS-SQL服务的Windows系统又被发现遭受僵尸网络Vollgar入侵近两年时间，日攻击3000个数据库。

影响范围

研究人员称，攻击者在过去几周中每天成功感染了近2000-3000台存在MS-SQL弱口令的Windows系统，受害者分别来自中国、印度、美国、韩国和美国，受到影响的行业涵盖医疗、航空、IT、电信及高等教育部门。除了挖矿之外，吸引攻击者入侵的原因还在于这些服务器拥有的大量数据，例如用户名、密码、信用卡号等重要信息。

攻击简介

Vollgar 攻击者首先在MS-SQL服务器上利用弱密码的安全漏洞强行登录。一旦登录成功，攻击者就可以执行许多配置更改以部署后门，随即运行恶意命令并下载恶意软件。

恶意软件获得控制权后，攻击者便使用数据库来挖掘加密货币。目前正在开采的加密货币是 V-Dimension（Vollar）和 Monero（门罗币）。此外，Vollgar 背后的攻击者还为 MS-SQL 数据库以及具有较高特权的操作系统创建了新的后门账户。

初始设置完成后，攻击会继续创建下载器脚本(两个VBScript和一个FTP脚本)，这些脚本将“多次”执行，每次在本地文件系统上使用不同的目标位置来避免被发现可能性。

其中，一个名为

SQLAGENTIDC.exe/SQLAGENTVDC.exe 的初始有效负载首先会杀死一长串进程，目的是确保最大数量的系统资源，消除其他威胁参与者的活动，并从受感染的计算机中删除它们的存在。

据统计，Vollgar攻击源自120多个IP地址，60％的设备会在短时间内被Vollgar感染，20％的设备被感染周期长达数周，10％的设备在被袭击情况下会再次感染。

措施建议

有没有办法能提前抵御这种攻击呢？答案是肯定的，为了帮助受感染者和潜在受害者，中科天齐提供了如下解决方案：

1、通过：

https://github.com/guardicore/labs_campaigns/tree/master/Vollgar下载自查脚本进行自查，如发现计算机受干扰，需立即隔离，阻止其访问网络中的其他资产。再移除探测自查结果中的攻击痕迹并终止恶意程序；

2、将所有MS-SQL用户帐户密码更改为强密码，以避免被此攻击或其他暴力攻击再次感染；

3、采取主动性的预防措施来保护自己的数据库。例如将数据库与互联网断开，从而限制外部访问；

4、实施基于复杂访问的控制机制，该机制仅将需要访问特定服务器的IP地址列入白名单，并限制登录尝试的次数以防止暴力破解。

拓展阅读：什么是“僵尸网络”？

僵尸网络，英文"botnet"(简称"机器人网络")是由受恶意软件感染的计算机组成的网络，由一个名为"bot-herder"的攻击方控制。每台受bot-herder控制的机器被称为机器人（bot）。从一个中心点，攻击方可以命令其僵尸网络上的每台计算机同时进行协调的犯罪行动。僵尸网络的规模(许多由数百万个机器人组成)使攻击者能够执行大规模的行动，这在以前的恶意软件中是不可能的。由于僵尸网络仍然处于远程攻击者的控制之下，受感染的机器可以动态地接收更新并改变它们的行为。因此，"bot-herder"往往能够在黑市上租借进入僵尸网络的权限，以获得可观的经济收益。

http://weixin.qq.com/r/EC1GXrjEhOX7rfw993gC (二维码自动识别)