安天网络行为检测能力升级通告（20250601）

安天网络行为检测引擎收录了近期流行的网络攻击行为特征。本期新增检测规则97条，本期升级改进检测规则16条，网络攻击行为特征涉及漏洞利用、文件上传等高风险，涉及代码执行、代码注入等中风险。

安天网络行为检测引擎最新规则库版本为Antiy_AVLX_2025052907建议及时更新安天探海威胁检测系统-网络行为检测引擎规则库（请确认探海系统版本为：6.6.1.4 及以上，旧版本建议先升级至最新版本），安天售后服务热线：400-840-9234。

近日，究人员发现了一种名为PumaBot的新型僵尸网络，该网络专门针对基于Linux的物联网设备。PumaBot僵尸网络使用Go语言编写，它通过暴力破解SSH登录凭证进行传播，并在受感染的主机上部署额外的恶意软件。具体而言，PumaBot会从命令与控制服务器获取目标列表，尝试暴力破解SSH凭证，一旦成功入侵目标主机，便会接收远程命令并建立持久化机制。此外，该恶意软件还会伪装成合法的Redis系统文件，创建一个持久化的systemd服务，并执行从服务器接收到的命令，这些命令中包括用于非法挖矿的指令。除此之外，PumaBot还会部署其他相关恶意软件，例如ddaemon、networkxm、installx.sh、jc.sh、pam_unix.so等工具，这些工具被用于进一步扩大感染范围以及窃取用户凭证。

此外，研究人员发现，一种新型自我传播恶意软件正针对配置不当的Docker容器发起攻击，并将受感染的Docker容器变成用于挖掘Dero加密货币的僵尸网络。该恶意软件通过两个组件实现其攻击链：其中一个组件是名为“nginx”的恶意软件，它负责扫描互联网上暴露的Docker容器；另一个组件则是用于挖掘Dero加密货币的“cloud”矿工程序。这两个组件均使用Golang语言开发。“nginx”恶意软件被设计为记录自身的运行活动、启动矿工程序，并进入一个无限循环，在循环中生成随机IPv4网络子网，以标记更多易受攻击的Docker容器。此外，该恶意软件还会通过安装masscan和docker.io工具来感染其他网络，进而实现恶意软件的进一步传播。其最终目标是部署用于挖掘Dero加密货币的程序。