自12月初以来，一种新发现且自我传播的基于Golang的恶意软件一直在积极地在Windows和Linux服务器上丢弃XMRig加密货币矿工。
这种多平台恶意软件还具有蠕虫功能，可通过Intezer 安全研究员Avigayil Mechtinger透露的弱口令对蛮横的面向公众的服务（例如MySQL，Tomcat，Jenkins和WebLogic）进行传播，从而将其传播到其他系统。
该活动的攻击者自从首次发现蠕虫以来就一直通过其命令和控制（C2）服务器积极地更新蠕虫的功能，这暗示着一个处于主动维护状态的恶意软件。
C2服务器用于托管bash或PowerShell dropper脚本（取决于目标平台），基于Golang的二进制蠕虫，以及XMRig矿工，用于秘密挖掘受感染设备上的Monero加密货币。
Mechtinger说：“在出版时，在VirusTotal中完全没有检测到ELF蠕虫二进制文件和bash dropper脚本。”
暴力破解和利用暴露的服务器
该蠕虫通过使用密码喷雾和一系列硬编码凭据扫描并强行使用MySql，Tomcat和Jenkins服务，从而将其传播到其他计算机。
还可以看到该蠕虫的旧版本试图利用CVE-2020-14882 Oracle WebLogic远程代码执行漏洞。
一旦设法攻陷目标服务器之一，它将部署加载程序脚本（对于Linux为ld.sh，对于Windows为ld.ps1），该脚本同时删除XMRig挖矿程序和基于Golang的蠕虫二进制文件。
如果恶意软件检测到受感染的系统正在侦听端口52013，它将自动杀死自己。如果未使用该端口，该蠕虫将打开自己的网络套接字。
“蠕虫的代码对于它的PE和ELF恶意软件几乎是相同的，而且在VirusTotal中未被发现的ELF恶意软件表明，对于大多数安全和检测平台来说，Linux威胁仍在雷达之下。”
为了抵御这种新的多平台蠕虫病毒发起的暴力攻击，您应该限制登录名，并在所有Internet公开的服务上使用难以猜测的密码，并尽可能使用两因素身份验证。
其他可以抵御这种新恶意软件威胁的方法是，始终确保您的软件始终保持最新状态，并确保无法通过Internet访问服务器，除非绝对必要。
*编译：Domino
*来自：bleepingcomputer