Ebury 僵尸网络自 2009 年起已感染 40 万台 Linux 服务器
内容提要
据ESET研究人员称，自2009年以来，名为Ebury的恶意软件僵尸网络已感染近40万台Linux服务器，仍有约10万台受到攻击。Ebury攻击趋势逐渐增长，最近的攻击策略包括入侵托管提供商并实施供应链攻击。攻击方式包括凭证填充、窃取SSH身份验证密钥和利用已知漏洞。Ebury还使用捕获的凭证清空托管加密货币钱包，并窃取信用卡信息、重定向流量、发送垃圾邮件和出售凭证。ESET观察到Ebury引入新的混淆技术和域生成算法，提高了其抵御拦截的能力。ESET的调查与荷兰国家高科技犯罪小组合作进行，目前正在调查发现的证据。
延伸解读
长期潜伏：感染规模与时间跨度
Ebury自2009年起持续活动，累计感染近40万台Linux服务器，截至2023年底仍有约10万台受控。这一数字并非同时感染，而是15年间不断有新服务器被入侵、旧服务器被清理或退役的结果。由于数据无法说明攻击者何时失去访问权限，僵尸网络在任意时间点的实际规模难以精确评估，这提醒我们长期存在的威胁可能比表面数字更复杂。
供应链攻击：托管提供商成为跳板
近期Ebury攻击者倾向于入侵托管提供商，再对租用其虚拟服务器的客户发动供应链攻击。一旦得手，恶意软件会从wtmp和known_hosts文件渗出入站/出站SSH连接列表，并窃取SSH密钥以尝试登录其他系统。对于使用托管服务的企业，这意味着即使自身防护到位，也可能因提供商被攻破而间接沦陷，需关注托管环境的安全隔离与监控。
多样化变现：从加密货币到信用卡
Ebury的盈利手段多样：使用捕获的凭证自动清空托管加密货币钱包（2023年至少攻击200台服务器，包括比特币和以太坊节点），窃取支付网站信用卡信息，重定向流量赚取广告和联盟收入，利用被控服务器发送垃圾邮件，以及出售凭证。这种多元化策略表明，攻击者会针对不同服务器类型灵活选择变现方式，企业需评估自身资产在攻击者眼中的价值。
对抗升级：混淆技术与DGA
2023年底，ESET观察到Ebury引入新的混淆技术和域生成算法（DGA），以躲避检测并提高抵御拦截的能力。同时，其恶意软件模块如HelimodProxy、HelimodRedirect、HelimodSteal、KernelRedirect和FrizzySteal分别针对流量代理、重定向、表单窃取、内核级重定向和libcurl拦截。这些技术演进说明僵尸网络在持续对抗安全防御，防御方需关注其模块化攻击链和隐蔽通信手段。
Q&A
Ebury恶意软件是什么？
Ebury是一种自2009年以来感染Linux服务器的恶意软件僵尸网络，已感染近40万台服务器。
Ebury的攻击方式有哪些？
Ebury的攻击方式包括凭证填充、窃取SSH身份验证密钥、利用已知漏洞、清空加密货币钱包和窃取信用卡信息等。
Ebury是如何入侵服务器的？
Ebury通过凭证填充攻击获取登录凭证，随后窃取SSH密钥并利用已知漏洞进行进一步入侵。
Ebury对加密货币钱包的攻击有什么影响？
Ebury会使用捕获的凭证自动清空托管的加密货币钱包，造成财务损失。
Ebury的攻击趋势如何？
Ebury的攻击趋势逐渐增长，目前仍有约10万台服务器受到攻击。
ESET在调查Ebury时发现了什么？
ESET与荷兰国家高科技犯罪小组合作，发现Ebury使用新的混淆技术和域生成算法以提高抵御拦截的能力。
