近期，ESET專家發現一種新型惡意軟件Mumblehard，該惡意軟件至少秘密存在了五年，感染了數千的Linux和FreeBSD服務器，并利用這些服務器投送垃圾郵件。

[[133354]]

惡意軟件Mumblehard攻擊詳情

ESET安全專家通過監視他們的C&C服務器發現曾有8867個不同IP地址連接了該服務器。更嚴重的是，在剛過去的三周內，就有3000個新IP地址連接了該服務器。

專家推測，攻擊者是利用Joomla和WordPress中的漏洞入侵服務器，并在服務器上安裝了Mumblehard惡意軟件。

ESET在發布的報告中聲稱：

“Mumblehard主要由Perl腳本組成，這些腳本經過加密和封裝之后嵌入到了ELF二進制文件中。在某些情況下，Perl腳本中包含另一個ELF可執行文件。Perl腳本被封裝在由匯編語言編寫的ELF二進制文件中。相比于一般的惡意軟件，Mumblehard更加復雜。”

在這些惡意軟件活動中，專家們分析出兩種不同的惡意活動后門。一個是通用的后門，用來接收C&C服務器發送過來的指令;另一個是垃圾郵件后臺程序。

此外，專家們發現Mumblehard惡意軟件與Yellsoft公司有所關聯，該公司主要銷售DirecMailer軟件，利用Yellsoft公司的軟件可以發送大量的電子郵件。同時，向惡意軟件發送指令的C&C服務器IP地址也顯示是在Yellsoft公司的IP地址范圍之內。

安全預防措施

Web服務器管理員應該通過尋找惡意軟件添加的“非必要計劃條目”來檢測服務器是否感染Mumblehard，該條目每十五分鐘就試圖激活一次后門。此外，后門通常安裝在/tmp或/var/tmp目錄下，可以通過noexec選項掛載tmp目錄來撤銷它。