亞洲云計算服務提供商如今已經成為CoinStomp惡意軟件攻擊的目標，其攻擊旨在竊取用于開采加密貨幣的計算能力。CoinStomp惡意軟件部署的網絡攻擊技術包括時間戳(修改文件時間戳)、刪除系統加密策略，以及使用反向shell啟動與惡意軟件的命令和控制通信。

云原生網絡取證和響應平臺提供商Cado Security公司研究員Matt Muir在其發表的一篇文章中指出，“CoinStomp在之前的加密劫持攻擊中使用了時間戳。然而，這不是一種常見的技術。這種技術通常被用作一種反取證措施，以阻礙調查人員的調查和受害方的補救工作?！?/p>

Cybellum公司安全研究員和開發人員Gal Lapid解釋說，網絡攻擊者經常更改關鍵文件。他說，“很多時候，這些文件位于包含許多同時生成的文件的文件夾中，一旦有一個文件‘不合適’(最近被更改過)，就可能會引發一些危險信號。因此，網絡攻擊者可以復制文件夾內其他文件的時間戳，從而躲避安全檢測?！?/p>

惡意軟件刪除加密策略文件

Vulcan Cyber公司的網絡安全工程師Mike Parkin指出，一些APT小組的工具包中包含時間戳操作。他說，“這并不是一種晦澀難懂的技術。”

CoinStomp惡意軟件還發出命令以刪除系統上的加密策略文件，甚至終止加密進程。Cado Security公司的Muir寫道，“顯然，加密策略的執行對惡意軟件的部署產生了切實的影響。如果惡意應用程序使用不安全的協議，加密策略可能會阻止下載額外的有效負載，也可以防止惡意應用程序運行?！?/p>

CoinStomp團伙精通云計算技術

為了發出命令和控制惡意軟件，CoinStomp團伙在Linux系統上使用/dev/tcp文件創建了一個反向shell。Muir解釋說,“大多數Linux發行版都支持通過/dev/tcp設備文件對遠程主機進行讀/寫操作。當然，這對于惡意軟件開發人員來說是完美的，因為它是一種創建反向shell或C2通信通道的簡單且原生支持的方法?！?/p>

北美共享評估指導委員會主席Nasser Fattah補充說：“由于/dev/tcp是Linux的原生版本，旨在與其他計算機通信，網絡攻擊者可以利用該文件，并將其作為常見的預期網絡流量，例如HTTP?！北泵拦蚕碓u估指導委員會是第三方風險管理提供工具和認證的公司聯盟。

Muir認為，CoinStomp團伙展示了網絡攻擊者在云安全領域的復雜性和專業知識。他寫道，“采用反取證技術，并通過刪除加密策略來削弱目標機器的安全性，不僅表明了網絡攻擊者對Linux安全措施的了解，而且還表明了對事件響應過程的理解。”

敏銳地意識到如何在Linux上進行檢測

Muir補充說，使用/dev/tcp創建用于通信的反向shell也是一種高級技術。他指出，“C2通信通常很嘈雜，并且很容易被監控工具發現，但使用端口443有助于使這種流量看起來合法。”

Arctic Wolf公司首席技術官Ian McShane發現CoinStomp是一種不尋常的網絡攻擊。他說，“由于反向shell的使用和避免常見安全控制的能力，CoinStomp團伙敏銳地意識到在Linux上進行安全檢測的方式，并且能夠針對不一定對互聯網通信開放的基礎設施進行攻擊?！?/p>

Valtix公司首席安全研究員Davis McCarthy補充說，“CoinStomp團伙具有前瞻性思維，他們正在使用復雜技術來應對可能遇到的安全控制措施?！?/p>