您當前的位置 : 東北網  >  龍江看天下  >  熱點聚焦

速看!又一批境外惡意網址和IP公布

時間:2025-04-14 10:36:25  來源:國家網絡安全通報中心  作者:

  中國國家網絡與信息安全信息通報中心通過支橕單位發現一批境外惡意網址和惡意IP,境外黑客組織利用這些網址和IP持續對中國和其他國家發起網絡攻擊。這些惡意網址和IP都與特定木馬程序或木馬程序控制端密切關聯,網絡攻擊類型包括建立僵屍網絡、後門利用等,對中國國內聯網單位和互聯網用戶構成重大威脅。相關惡意網址和惡意IP歸屬地主要涉及:美國、英國、保加利亞、立陶宛、荷蘭、埃及、科威特等。主要情況如下:

  一、惡意地址信息

  (一)惡意地址:hyjk.k3121.com

  關聯IP地址:104.155.138.21

  歸屬地:美國/艾奧瓦州/康瑟爾布拉夫斯

  威脅類型:僵屍網絡

  病毒家族:XorDDoS

  描述:這是一種Linux僵屍網絡病毒,主要通過內置用戶名、密碼字典進行Telnet和SSH暴力破解的方式擴散。其在加解密中大量使用了Xor,同時運用多態及自刪除的方式隨機生成進程名,可實現對網絡設備進行掃描和對網絡攝像機、路由器等IOT設備的攻擊,攻擊成功後,可利用僵屍程序形成一個僵屍網絡,對目標網絡發起分布式拒絕服務(DDos)攻擊,造成大面積網絡癱瘓或無法訪問網站或在線服務。

  (二)惡意地址:www.caiyundaifu.top

  關聯IP地址:107.178.223.183

  歸屬地:美國/艾奧瓦州/康瑟爾布拉夫斯

  威脅類型:僵屍網絡

  病毒家族:XorDDoS

  描述:這是一種Linux僵屍網絡病毒,主要通過內置用戶名、密碼字典進行Telnet和SSH暴力破解的方式擴散。其在加解密中大量使用了Xor,同時運用多態及自刪除的方式隨機生成進程名,可實現對網絡設備進行掃描和對網絡攝像機、路由器等IOT設備的攻擊,攻擊成功後,可利用僵屍程序形成一個僵屍網絡,對目標網絡發起分布式拒絕服務(DDos)攻擊,造成大面積網絡癱瘓或無法訪問網站或在線服務。

  (三)惡意地址:302im.ow5dirasuek.com

  關聯IP地址:52.34.198.229

  歸屬地:美國/俄勒岡州/波特蘭

  威脅類型:後門

  病毒家族:Buterat

  描述:該惡意地址關聯到Buterat病毒家族樣本,部分樣本的MD5值為1472a8c4668d6b34987b6c6bf5ed78b0,通過漏洞利用、網絡下載等方式進行傳播。部分蠕蟲變種還會將自身復制到可移動磁盤和網絡磁盤中進行傳播。該病毒家族的樣本往往經過混淆、運行後復制自身到特定目錄,並且在副本中修改兩個字節從而改變自身哈希值,設置注冊表啟動項,還會釋放DLL組件,注冊為瀏覽器幫助對象,通過設置LoadAppInit_DLLs、SHELLEXECUTEHOOKS等方式實現持久駐留,注入自身到系統正常進程(如瀏覽器進程中),從而實現隱蔽執行惡意功能(如監控用戶流量、收集特定站點搜索查詢信息、重定向到特定站點、點擊廣告等)。該後門還會連接遠程C&C服務器,執行特定命令。

  (四)惡意地址:serpentine.servebeer.com

  關聯IP地址:192.133.77.133

  歸屬地:美國/加利福尼亞州/舊金山

  威脅類型:後門

  病毒家族:AsyncRAT

  描述:該惡意地址關聯多個Asyncrat病毒家族樣本,部分樣本的MD5值為31bfa56bcd984d9a334a3006d3cc323d。該網絡後門采用C#語言編寫,主要功能包括屏幕監控、鍵盤記錄、密碼獲取、文件竊取、進程管理、開關攝像頭、交互式SHELL,以及訪問特定URL等。該木馬通過移動介質、網絡釣魚等方式進行傳播,現已發現多個關聯變種,部分變種主要針對民生領域的聯網系統。

  (五)惡意地址:panel.daudau.org

  關聯IP地址:195.177.95.92

  歸屬地:英國/英格蘭/倫敦

  威脅類型:僵屍網絡

  病毒家族:MooBot

  描述:這是一種Mirai僵屍網絡的變種,常借助各種IoT設備漏洞例如CVE-2015-2051、CVE-2018-6530、CVE-2022-26258、CVE-2022-28958等進行入侵,攻擊者在成功入侵設備後將下載MooBot的二進制文件並執行,進而組建僵屍網絡並可能發起DDoS(分布式拒絕服務)攻擊。

  (六)惡意地址:resbot.online

  關聯IP地址:79.124.40.46

  歸屬地:保加利亞/索非亞州/索非亞

  威脅類型:僵屍網絡

  病毒家族:MooBot

  描述:這是一種Mirai僵屍網絡的變種,常借助各種IoT設備漏洞例如CVE-2015-2051、CVE-2018-6530、CVE-2022-26258、CVE-2022-28958等進行入侵,攻擊者在成功入侵設備後將下載MooBot的二進制文件並執行,進而組建僵屍網絡並可能發起DDoS(分布式拒絕服務)攻擊。

  (七)惡意地址:rebirth.stressor.su

  關聯IP地址:45.125.66.114

  歸屬地:立陶宛/考納斯縣/考納斯

  威脅類型:僵屍網絡

  病毒家族:Mirai

  描述:這是一種Linux僵屍網絡病毒,通過網絡下載、漏洞利用、Telnet和SSH暴力破解等方式進行擴散,入侵成功後可對目標網絡系統發起分布式拒絕服務(DDoS)攻擊。

  (八)惡意地址:shenron19862.duckdns.org

  關聯IP地址:91.92.243.78

  歸屬地:荷蘭/北荷蘭省/阿姆斯特丹

  威脅類型:後門

  病毒家族:Remcos

  描述:該惡意地址關聯到多個RemCos病毒家族樣本,部分樣本的MD5值為ef0d878cdf88a969950eef112894a925。攻擊者可以利用受感染系統的後門訪問權限收集敏感信息並遠程控制系統。RemCos是一款遠程管理工具,發布於2016年。最新版本的RemCos能夠執行多種惡意活動,包括鍵盤記錄、截取屏幕截圖和竊取密碼。

  (九)惡意地址:gadyshahhaa.zapto.org

  關聯IP地址:156.213.204.184

  歸屬地:埃及/開羅省/開羅

  威脅類型:後門

  病毒家族:NjRAT

  描述:該惡意地址關聯到NjRAT病毒家族樣本,部分樣本程序的MD5值為f78ae1abc546fbd672e2a8b9c9ca257e。該後門是一種由C#編寫的遠程訪問木馬,具備屏幕監控、鍵盤記錄、密碼竊取、文件管理(上傳、下載、刪除、重命名文件)、進程管理(啟動或終止進程)、遠程激活攝像頭、交互式Shell(遠程命令執行)、訪問特定URL及其它多種惡意控制功能,通常通過移動存儲介質感染、網絡釣魚郵件或惡意鏈接進行傳播,用於非法監控、數據竊取和遠程控制受害者計算機。

  (十)惡意地址:q1337.ddns.net

  關聯IP地址:37.231.43.251

  歸屬地:科威特/科威特省/科威特城

  威脅類型:後門

  病毒家族:NjRAT

  描述:該惡意地址關聯到NjRAT病毒家族樣本,部分樣本程序的MD5值為f61409daf64f9e94242490ab261d4837。該網絡後門是一種由C#編寫的遠程訪問木馬,具備屏幕監控、鍵盤記錄、密碼竊取、文件管理(上傳、下載、刪除、重命名文件)、進程管理(啟動或終止進程)、遠程激活攝像頭、交互式Shell(遠程命令執行)、訪問特定URL及其它多種惡意控制功能,通常通過移動存儲介質感染、網絡釣魚郵件或惡意鏈接進行傳播,用於非法監控、數據竊取和遠程控制受害者計算機。

  二、排查方法

  (一)詳細查看分析瀏覽器記錄以及網絡設備中近期流量和DNS請求記錄,查看是否有以上惡意地址連接記錄,如有條件可提取源IP、設備信息、連接時間等信息進行深入分析。

  (二)在本單位應用系統中部署網絡流量檢測設備進行流量數據分析,追蹤與上述網址和IP發起通信的設備網上活動痕跡。

  (三)如果能夠成功定位到遭受攻擊的聯網設備,可主動對這些設備進行勘驗取證,進而組織技術分析。

  三、處置建議

  (一)對所有通過社交平臺或電子郵件渠道接收的文件和鏈接保持高度警惕,重點關注其中來源未知或不可信的情況,不要輕易信任或打開相關文件。

  (二)及時在威脅情報產品或網絡出口防護設備中更新規則,堅決攔截以上惡意網址和惡意IP的訪問。

  (三)向公安機關及時報告,配合開展現場調查和技術溯源。

責任編輯:宋蔚