随着云计算技术的飞速发展，越来越多企业依赖云服务来存储和管理重要数据。然而，云环境的开放性和复杂性也为网络攻击者提供了可乘之机。近期，由安全监测机构发现的名为Soco404和Koske的两大恶意软件引发了业界高度关注，它们利用云环境漏洞和配置错误，在多个操作系统平台展开持久且隐蔽的加密货币挖矿攻击，极大地威胁云服务的安全稳定。Soco404针对Linux和Windows系统，采用平台特定的恶意代码，通过伪装成系统进程的手法进行隐蔽活动。攻击者利用虚假的404网页页面作为攻击载体，这些页面托管在Google Sites上，尽管事后被谷歌强制下架，但其传播过程揭示了攻击团队的高超隐蔽技术。早前，Soco404已针对Apache Tomcat服务展开攻击，利用弱口令和已知漏洞渗透系统。
它同样瞄准公开的PostgreSQL数据库实例，借助PostgreSQL的COPY ... FROM PROGRAM命令执行任意代码，完成远程命令执行，迅速获取系统控制权。攻击者使用多种工具发起入侵，无论是Linux环境下的wget和curl，还是Windows系统自带的certutil和PowerShell，均被巧妙利用，实现跨平台的灵活攻击。其策略极具自动化特征，自动扫描并利用所有可访问入口，快速扩散恶意代码。入侵后，Soco404在Linux端直接在内存中执行shell脚本，以减少痕迹，并通过终止竞争性的挖矿程序和覆盖日志文件来最大化攻击收益及隐藏踪迹。在Windows系统中，攻击者下载并执行包含加密挖矿程序及WinRing0.sys驱动的二进制文件，该驱动能够帮助获取高权限。与此同时，它们会关闭Windows事件日志服务并尝试自我删除，进一步规避安全检测。
与Soco404威胁几乎同步出现的，是一种名为Koske的Linux专属恶意软件。Koske在攻击中别出心裁地利用了大型语言模型辅助开发的复杂代码，并且采用了极具迷惑性的传播方式——通过附带恶意代码的熊猫形象JPEG图片。攻击起点通常是配置不善的JupyterLab服务器，攻击者会借此部署两段关键脚本：一段使用C语言实现的rootkit，利用LD_PRELOAD机制隐藏恶意文件；另一段shell脚本则直接从内存中下载并执行加密货币挖矿程序。这种内存执行的策略大幅度减小了被杀毒软件检测到的概率。Koske支持同时使用CPU和GPU资源挖掘多达18种不同的加密货币，包括Monero、Ravencoin、Zano、Nexa和Tari等。其采用的技术并非传统隐写术，而是一种名为多态文件（polyglot）滥用的方式，将恶意代码附加在合法JPEG文件后部，仅下载并执行最后数字节的嵌入代码，从而让防护系统难以察觉。
Soco404和Koske两大恶意软件的出现反映出网络攻击正朝着多平台、自动化和极端隐蔽化方向演进。它们利用云计算环境的多样性及复杂配置，频繁扫描并利用弱口令、配置错误、系统漏洞展开攻击，严重影响云服务的正常运行和安全保障。防范此类威胁，需要企业采取系统性安全管理策略。首先，强化云服务的访问控制，使用复杂且定期更换的口令策略是阻断攻击初期入侵的关键。其次，应及时更新各类服务软件，针对Apache Tomcat、Apache Struts、Atlassian Confluence、PostgreSQL及JupyterLab等容易被攻击的组件，快速修补漏洞。技术层面，应部署多层次的安全监测系统，实现对异常行为的实时发现与响应，尤其关注服务器进程的异常关联、文件系统的隐秘操作及网络流量的异常模式。
对于如Soco404利用的进程伪装和日志篡改行为，先进的威胁检测工具和行为分析机制有助于识别潜在攻击。针对Koske通过多态文件传递恶意代码的手法，强化对文件完整性的校验及文件类型异常检测能够有效防护。此外，加强员工安全意识教育，避免因错误配置和操作导致安全漏洞，也是防护的重要一环。值得注意的是，随着攻击者逐渐利用人工智能技术辅助恶意软件开发，安全防护也需要借助同样的技术手段，不断升级与自动化安全防御能力。云服务提供商与客户应建立紧密合作机制，分享威胁情报，快速响应新兴威胁。总结来看，Soco404和Koske的跨平台加密货币挖矿攻击不仅揭示了网络犯罪集团技术的进步，也警示企业重视云安全环境的风险评估和持续管理。
只有通过完善的安全架构、严格的访问控制、多层态防御措施和智能化威胁感知，才能有效抵御此类高级持续威胁，保障云服务的安全与稳定运营。随着云技术和威胁环境的发展，企业亦需持续跟进最新安全动态，提前布局云安全策略，构筑坚实的防线，确保数字资产安全无虞。
