黑客攻击系统以进行加密货币挖矿活动

根据云安全公司Wiz的研究人员报告，黑客现在正在攻击系统以进行加密货币挖矿活动。研究人员表示，黑客正在利用暴露的Java调试线协议（JDWP）接口，在受控系统上获取代码执行能力。

根据报告，在获得代码执行能力后，黑客在受控主机的系统上部署了加密货币矿工。“攻击者使用了经过修改的XMRig版本，其中包含硬编码的配置，使他们能够避免通常会被防御者标记的可疑命令行参数，”研究人员说。他们补充说，有效载荷使用挖矿池代理来隐藏攻击者的加密货币钱包，防止调查人员进一步追踪。

黑客利用暴露的JDWP进行挖矿活动

研究人员观察到针对运行TeamCity（一种流行的持续集成和持续交付（CI/CD）工具）的蜜罐服务器的活动。JDWP是Java中用于调试的通信协议。通过该协议，调试器可用于处理不同的进程、同一台计算机上的Java应用程序或远程计算机。

然而，由于JDWP缺乏访问控制机制，将其暴露在互联网上可能会打开新的攻击向量，黑客可以利用它作为入口点，从而完全控制正在运行的Java进程。简单来说，这种错误配置可用于注入和执行任意命令，以设置持久性并最终运行恶意有效载荷。

“虽然JDWP在大多数Java应用程序中默认未启用，但它常用于开发和调试环境，”研究人员说。“许多流行应用程序在调试模式下运行时会自动启动JDWP服务器，通常不会向开发人员明显提示风险。如果保护不当或暴露在外，这可能会打开远程代码执行（RCE）漏洞的大门。”

在调试模式下可能启动JDWP服务器的一些应用程序包括TeamCity、Apache Tomcat、Spring Boot、Elasticsearch、Jenkins等。GreyNoise的数据显示，在过去24小时内，有超过2,600个IP地址被扫描以查找JDWP端点，其中1,500个IP地址是恶意的，1,100个被归类为可疑。报告提到，这些IP地址大多来自香港、德国、美国、新加坡和中国。

研究人员详细说明了攻击是如何进行的

在研究人员观察到的攻击中，黑客利用Java虚拟机（JVM）在端口5005上监听调试器连接的事实，发起对互联网上开放JDWP端口的扫描。之后，发送JDWP握手请求以确认接口是否处于活动状态。一旦确认服务暴露且可交互，黑客就会执行命令以获取执行一系列操作的dropper shell脚本。

这一系列行动包括终止系统中所有竞争矿工或任何高CPU进程，从外部服务器（“awarmcorner[.]world”）下载修改版的XMRig 矿工（针对适当的系统架构）到“~/.config/logrotate”，通过设置cron作业建立持久性，以确保每次shell登录、重启或预定时间间隔后重新获取和执行有效载荷，并在退出时删除自身。

“由于XMRig是开源的，它为攻击者提供了易于定制的便利，在这种情况下，涉及剥离所有命令行解析逻辑并硬编码配置，”研究人员说。“这种调整不仅简化了部署，还允许有效载荷更令人信服地模仿原始logrotate进程。”

此次披露之际，NSFOCUS指出，一种新的且不断演变的基于Go语言的恶意软件Hpingbot正在针对Windows和Linux系统，可以使用hping3发起分布式拒绝服务（DDoS）攻击。