據(jù)ESET于5月16日公布的報告，“Ebury”僵尸網(wǎng)絡再次活躍，該網(wǎng)絡自2009年以來感染了約40萬臺Linux主機。

新近的攻擊模式表明，黑客首先鎖定VPS服務器供應商作為目標，然后通過供應鏈攻擊入侵其客戶的虛擬機。

報告揭示，黑客利用泄露的數(shù)據(jù)庫進行“撞庫”，一旦成功獲取目標主機權限，便會部署SSH腳本，嘗試獲取VPS中的密鑰，以進一步入侵其他服務器。此外，黑客還利用未及時修復的軟件漏洞提升權限。

成功控制受害服務器后，黑客利用ARP技術將受害服務器的SSH流量重定向至自己的服務器，從而竊取第三方用戶的賬號密碼，進行更多的“撞庫”行為。

研究人員還發(fā)現(xiàn)，黑客利用該僵尸網(wǎng)絡傳播多種惡意木馬，如HelimodProxy、HelimodRedirect等，這些木馬可以將受害服務器用作代理服務器，重定向流量，記錄網(wǎng)站表單內(nèi)容，將用戶重定向至惡意URL，甚至攔截HTTP請求。因此，研究人員強烈建議服務器VPS提供商加強防范此類病毒入侵。