Clik here to view.
SystemdMiner,when a botnet borrows another botnet’s infrastructure
Update(2019.4.26 17:30) About 3 hours after the release of this article, we found that the attacker took down the URL of some Payload downloads, the following URL has expired:...
View ArticleClik here to view.
信用卡数据泄漏持续进行中
DNSMon是一个全网DNS异常发现分析系统。基于我们可以看到的中国地区 10%+ 的DNS流量，加上我们多年积累的其他多维度安全数据以及安全分析能力，我们可以在一个独特的视角来实时监测 全网 每天 正在发生 的事情，我们可以 “看见” 正在发生的威胁。 摘要 我们的DNSMon发现了一个异常域名...
View ArticleClik here to view.
Ongoing Credit Card Data Leak
DNSMon is a network-wide DNS malicious domain analysis system we build here at 360Netlab. With the 10%+ total DNS traffic coverage in China, plus the other multi-dimensional security data and security...
View ArticleClik here to view.
信用卡数据泄漏持续进行中 [快速更新]
DNSMon是一个全网DNS异常发现分析系统。基于我们可以看到的中国地区 10%+ 的DNS流量，加上我们多年积累的其他多维度安全数据以及安全分析能力，我们可以在一个独特的视角来实时监测 全网 每天 正在发生 的事情，我们可以 “看见” 正在发生的威胁。 黑客在行动 5月8号，我们发布文章...
View ArticleClik here to view.
Ongoing Credit Card Data Leak [Continues]
DNSMon is a network-wide DNS malicious domain analysis system we build here at 360Netlab. With the 10%+ total DNS traffic coverage in China, plus the other multi-dimensional security data and security...
View ArticleClik here to view.
An Analysis of Linux.Ngioweb Botnet
Background On May 27, 2019, Our Unknown Threat Detect System highlighted a suspicious ELF file, and till this day, the detection rate on VT is still only one with a very generic name. We determined...
View ArticleClik here to view.
Linux.Ngioweb分析报告
背景介绍 2019年5月27号，360Netlab 未知威胁检测系统发现一个可疑的ELF文件，目前仅有一款杀毒引擎检测识别。通过详细分析，我们确定这是一款Proxy Botnet，并且是Win32.Ngioweb[1]恶意软件的Linux版本变种，我们将它命名为Linux.Ngioweb。它与Win32.Ngioweb共用了大量代码，不同的是它新增了DGA特性。我们注册了其中一个DGA...
View ArticleClik here to view.
An Analysis of Godlua Backdoor
Background On April 24, 2019, our Unknown Threat Detection System highlighted a suspicious ELF file which was marked by a few vendors as mining related trojan on VT. We cannot confirm it has mining...
View ArticleClik here to view.
Godlua Backdoor分析报告
背景介绍 2019年4月24号，360Netlab未知威胁检测系统发现一个可疑的ELF文件，目前有一部分杀软误识别为挖矿程序。通过详细分析，我们确定这是一款Lua-based Backdoor，因为这个样本加载的Lua字节码文件幻数为“God”，所以我们将它命名为Godlua Backdoor。 Godlua Backdoor会使用硬编码域名，Pastebin.com，GitHub.com和DNS...
View ArticleClik here to view.
一些Fiberhome路由器正在被利用为SSH隧道代理节点
背景介绍 2019年7月24号，360Netlab未知威胁检测系统发现一个可疑的ELF文件，目前在VirusTotal上还没有一款杀毒引擎检测识别。通过详细分析，我们确定这是一款针对Fiberhome路由器设备Reporter程序。它会定时获取设备IP等信息并上传给一个Web接口，以此来解决设备IP变更的问题。...
View ArticleClik here to view.
Some Fiberhome routers are being utilized as SSH tunneling proxy nodes
Background introduction On July 24, 2019, our Unknown Threat Detection System highlighted a suspicious ELF file with 0 VirusTotal detection. When we further looked into it, we realized it is a...
View ArticleClik here to view.
那些总是想要和别人强行发生关系的僵尸网络之Emptiness
背景 2019年06月23日我们捕获了一个全新的DDoS僵尸网络样本，因其启动时设置的进程名以及C2中有emptiness字样，所以我们将其命名为Emptiness。Emptiness由golang编写，当前发现的样本包括Windows和Linux两种平台版本。在溯源过程中，我们发现其作者长期维护着一个mirai变种僵尸网络，早期的Emptiness自身没有传播能力只有DDoS功能，是由mirai...
View ArticleClik here to view.
Emptiness: A New Evolving Botnet
Background Our honeypot system captured a new DDoS botnet sample on 2019-06-23. We named it Emptiness which comes from the running process name as well as its C2 domain. Emptiness is written by Golang...
View ArticleClik here to view.
那些和185.244.25.0/24网段有关的Botnet
根据我们的观察，过去几年185.244.25.0/24这个网段出现了超多的Botnet，包括但不仅限于mirai、gafgyt、tsunami、fbot、moobot、handymanny等，他们属于同一个组织或共享了相关代码。下表是过去一年我们关于该网段的一些统计数据。可以看出该网段有很多的CC和攻击行为。 Count of CC (host:port) Count of attack...
View ArticleClik here to view.
The Botnet Cluster on the 185.244.25.0/24
In the past few years, we have seen quite a few botnets on the 185.244.25.0/24 netblock, how many? Readers can take a look at the following tag cloud, which represents the keywords used in some of the...
View ArticleClik here to view.
潜伏者：Roboto Botnet 分析报告
背景介绍 2019年8月26号，360Netlab未知威胁检测系统发现一个可疑的ELF文件(4cd7bcd0960a69500aa80f32762d72bc)，目前在VirusTotal上显示仅有2款杀毒引擎检测识别。通过详细分析，我们确定这是一款基于P2P通信的Bot程序，并对它保持关注。...
View ArticleClik here to view.
The awaiting Roboto Botnet
Background introduction On August 26, 2019, our 360Netlab Unknown Threat Detection System highlighted a suspicious ELF file (4cd7bcd0960a69500aa80f32762d72bc) and passed along to our researchers to...
View ArticleClik here to view.
Lazarus Group使用Dacls RAT攻击Linux平台
背景介绍 2019年10月25号，360Netlab未知威胁检测系统发现一个可疑的ELF文件(80c0efb9e129f7f9b05a783df6959812)。一开始，我们以为这是在我们发现的Unknown Botnet中比较平凡的一个，并且在那时候VirusTotal上有2款杀毒引擎能够识别。当我们关联分析它的相关样本特征和IoC时，我们发现这个案例跟Lazarus...
View ArticleClik here to view.
Dacls, the Dual platform RAT
Background On October 25, 2019, a suspicious ELF file (80c0efb9e129f7f9b05a783df6959812) was flagged by our new threat monitoring system. At first glance, it seems to be just another one of the regular...
View ArticleClik here to view.
P2P Botnet： Ｍozi分析报告
概览 2019年09月03日我们捕获到一个可疑的的样本文件，大部分杀毒引擎将其识别为Gafgyt，但该样本和已知Gafgyt相似程度不高，只是复用了部分Gafgyt的代码。经过详细分析，我们确定这是Hajime之后，另一个基于DHT协议实现的P2P Botnet。根据其样本传播样本文件名称为Mozi.m、Mozi.a等特征我们将它命名为Mozi Botnet。 Mozi...
View Article