黑客利用 AI 针对加密货币和区块链项目数据库

根据 Check Point 的新研究，凭据薄弱且由 AI 生成的加密货币和区块链项目数据库正通过僵尸网络拾取的部署模式遭到黑客攻击。

这家网络安全公司表示，一个名为 GoBruteforcer 的恶意软件僵尸网络能够入侵 Linux 服务器并将其转变为自动密码破解节点。该黑客程序影响了加密货币项目使用的基础设施，包括数据库服务器、文件传输服务和 Web 管理面板。 

GoBrut 可以扫描互联网上保护不善的服务，并尝试使用流行的用户名和弱密码登录。一旦系统被入侵，它就会被添加到分布式网络中，供黑客网络远程访问。

GoBruteforcer 僵尸网络可以破解粗略设计的密码

根据 Check Point 的报告 发布 上周三，该僵尸网络能够绕过 FTP、MySQL、PostgreSQL 和 phpMyAdmin 等服务的保护。这些程序被区块链初创公司和去中心化应用开发者用于管理用户数据、应用程序逻辑和内部仪表板。

GoBrute 入侵的系统可以接受来自命令与控制服务器的命令，指示攻击哪个服务并提供用于暴力破解尝试的凭据。泄露的登录详情被重复使用以访问其他系统、窃取私人数据、创建隐藏账户，并扩大僵尸网络的范围。

Check Point 还提到，受感染的主机也可以被重新用于托管恶意负载、向新受害者分发恶意软件，或者如果核心系统出现停机，则成为备用控制服务器。

如今，许多开发团队，包括来自微软和亚马逊等大型科技公司的团队，都使用由大型语言模型 (LLM) 生成的代码片段和设置指南，或从在线论坛复制。 

Check Point 解释说，由于 AI 模型无法创建新密码，通常只是模仿它们所学的内容，它们使用户名和默认密码非常 可预测，在系统暴露在互联网上之前没有足够快地更改它们。 

当使用像 XAMPP 这样的遗留 Web 堆栈时，问题变得更加严重，因为这些堆栈默认会暴露管理服务的入口，为黑客提供容易的进入点。

GoBruteforcer 活动始于 2023，Unit 42 研究发现

GoBruteforcer 于 2023 年 3 月首次由 Palo Alto Networks 的 Unit 42 记录，详细说明了其入侵类 Unix 系统 x86、x64 和 ARM 架构的能力。该恶意软件部署了一个互联网中继聊天 (IRC) 僵尸和网络 shell，攻击者利用它们保持远程访问。

2025 年 9 月，Lumen Technologies 的 Black Lotus Labs 的研究人员发现，与另一款恶意软件家族 SystemBC 相关的部分受感染机器也是 GoBruteforcer 节点。Check Point 分析师将攻击中使用的密码列表与约 1000 万条泄露凭据的数据库进行了比较，发现重叠率约为 2.44%。

基于该重叠率，他们估计成千上万的数据库服务器可能接受僵尸网络使用的一个密码。Google 的 2024 年云威胁地平线报告发现，在遭入侵的云环境中，47.2% 的初始访问向量是由薄弱或缺失的凭据造成的。

区块链和 AI 侦察暴露私人数据，研究发现

在 GoBrute 被追踪到加密货币环境的实例中，网络黑客使用了与区块链项目命名惯例相匹配的加密货币主题用户名和密码变体。其他活动针对与 WordPress 网站链接的 phpMyAdmin 面板，这是一种用于项目网站和仪表板的服务。 

“有些任务显然是行业聚焦的。例如，我们观察到一次攻击使用了加密货币主题的用户名，如 cryptouser、appcrypto、crypto_app 和 crypto。在这些运行中，使用的密码结合了标准弱密码列表和加密货币特定的猜测，如 cryptouser1 或 crypto_user1234，” Check Point 在提到密码示例时说道。

Check Point 确定了一台被入侵的服务器，该服务器被用于托管一个扫描 TRON 区块链地址并通过公共区块链 API 查询余额的模块，以识别持有资金的钱包。

“暴露的基础设施、薄弱的凭据和日益自动化的工具相结合。虽然僵尸网络本身在技术上很简单，但其运营商受益于在线大量配置错误的服务，”该安全公司写道。