Prometei 僵尸网络不断演变： Linux变种卷土重来，有效载荷更加隐蔽，专注于开采门罗币

2025 年 3 月，Palo Alto Networks Unit 42 的研究人员发现了 Prometei 僵尸网络的卷土重来，这是一种复杂的模块化恶意软件系统，于 2020 年首次被发现。虽然历史上在 Windows 系统上很活跃，但最新一波重新引入了一种更隐蔽、功能更强大的 Linux 变体——专为门罗币加密货币挖掘、凭证盗窃和无声横向移动而设计。

Prometei 是指僵尸网络及其相关的恶意软件家族。自 2020 年 7 月以来，该僵尸网络一直活跃，已从简单的门罗币挖矿程序演变为具有高级持久性、利用和侦察功能的多阶段、跨平台威胁。

根据 Unit 42：

“这个恶意软件家族……允许攻击者远程控制受感染的系统进行加密货币挖掘（尤其是门罗币）和凭据盗窃。

Prometei 的架构是模块化的，具有不同的组件负责特定任务，例如：

• 暴力破解管理员凭据
• 利用漏洞（例如 SMB 协议缺陷、EternalBlue）
• 挖掘 门罗币
• 窃取系统和用户凭据
• 通过域生成算法 （DGA） 与其 C2 基础设施通信

它的自我更新功能确保它可以逃避检测并快速适应防御变化：

“Prometei 使用 DGA 和自我更新功能来创建有弹性和自适应的恶意软件。”

最新的示例（版本 3 和 4）与版本 2 （最后一次出现于 2021 年）有很大不同：

• 作为伪装成 k.php 的 UPX 打包的 ELF 可执行文件分发
• 使用附加到二进制文件的自定义 JSON 尾部进行配置
• 通过 ParentID、ParentHostname 和 ParentIp 值使用动态 C2 分配

有趣的是，由于故意混淆，恶意软件无法使用标准 UPX 工具解压缩：

“恶意软件附加的自定义配置 JSON 尾部会中断此过程……导致 UPX 工具错误地确定该文件不是有效的 UPX 存档。

僵尸网络使用以下命令从受感染的 Linux 计算机中收集详细的系统信息：

• /proc/cpuinfo （CPU）
• dmidecode –type 底板（主板）
• uname -a （内核）
• 正常运行时间（系统寿命）

所有这些都通过 HTTP GET 泄露到 C2 服务器，网址为：

hxxp://152.36.128[.]18/cgi-bin/p.cgi

Prometei 样品通过以下方式分发：

hxxp[://]103.41.204[.]104/k.php?a=x86_64.

基础设施由位于印度尼西亚雅加达的 Infinys Network （ASN 58397） 托管。

尽管文件扩展名k.php，但有效负载不是 PHP 脚本，而是另一层欺骗。

“尽管该文件被命名为 k.php，但它并不是 PHP 脚本，可能是一种进一步掩盖其真实性质的策略。”

Unit 42 的研究人员强调了分析最近 Prometei 样本的复杂性。在分析之前，恶意软件必须：

• 剥离 JSON 尾部
• 使用自定义方法解包
• 重新连接其原始拖车以进行执行测试

这个过程凸显了恶意软件日益复杂，将传统压缩与定制的反分析技术相结合。

虽然 Prometei 展示了类似 APT 的复杂性，但 Unit 42 没有发现与民族国家运作的联系。该僵尸网络仍然以经济动机为动机，主要专注于门罗币挖矿和可能出售收获的凭证。

“我们评估认为，Prometei 的运营似乎是由经济利益驱动的，没有证据表明与民族国家行为者有联系。”