疑似来自罗马尼亚、至少从 2020 年开始活跃的一个黑客团伙正使用此前从未被记录的 SSH 暴力破解器（使用 Golang 编写），对使用 Linux 的设备发起加密劫持活动。在成功入侵之后，就会部署门罗币（Monero）恶意挖矿软件。

来自 Bitdefender 的安全研究人员在上周发布的安全公告中表示，这款称之为“Diicot brute”的密码破解工具通过软件即服务（software-as-a-service）模型进行分发，每个威胁行为者都提供自己独特的 API 密钥以促进入侵。

在远程攻击成功之后除了部署恶意程序用于挖矿之外，该团伙还连接了至少 2 个 DDoS 僵尸网络，包括一个名为 chernobyl 的 Demonbot 变体和一个 Perl IRC bot，以及 XMRig 自 2021 年 2 月起托管在名为 mexalz[.]us 的域上的挖矿负载。

Bitdefender 表示于 2021 年 5 月开始调查该组织的敌对在线活动，随后发现了对手的攻击基础设施和工具包。该组织还以依靠一袋混淆技巧而闻名，这些技巧使他们能够躲避安全软件的审查。为此，Bash 脚本使用 shell 脚本编译器 (shc) 进行编译，并且发现攻击链利用 Discord 将信息报告回其控制的渠道，这种技术在恶意行为者中变得越来越普遍用于指挥和控制通信并逃避安全。

研究人员说：“黑客窃取弱 SSH 凭据的情况并不少见。安全方面最大的问题之一是默认用户名和密码，或者弱凭据黑客可以通过蛮力轻松克服。棘手的部分不一定是蛮力强制这些凭据，而是以一种让攻击者未被发现的方式进行操作”。