2021 年 10 月，ZeroFox Intelligence 披露了名為 Kraken 的殭屍網路。Kraken 通過 SmokeLoader 進行傳播，每次更新攻擊基礎設施時都會擴大規模。儘管與 2008 年發現的 Kraken 殭屍網路同名，但二者並沒有其他共同點。
功能
自從 2021 年 10 月以來，Kraken 殭屍網路一直在針對 Windows 積極開發。儘管 Bot 的功能相對簡單，但攻擊者一直在持續更新。其具有的典型功能如下：
持久化
收集主機資訊
下載並執行程式
遠端命令執行
竊取加密貨幣錢包
螢幕截圖
開端
Kraken 的早期版本在 2021 年 10 月 10 日被上傳到 GitHub 上，該版本的原始碼早於在野發現的任何樣本。但目前尚不清楚，GitHub 上的程式碼是否屬於攻擊者或者是攻擊者只是利用了該程式碼進行開發。
早期版本程式碼
感染
Kraken 在 SmokeLoader 下載的自解壓 RAR SFX 檔案中進行傳播。SFX 檔案中包含一個 UPX 加殼的 Kraken、一個 RedLine Stealer 和一個用於刪除 Kraken 的程式。後續版本除了使用 UPX 加殼，也使用 Themida 進行加殼。
SFX 檔案
持久化
Kraken 會將自身移動到 %AppData%\Microsoft處。檔名是硬編碼的，諸如 taskhost.exe、Registry.exe和 Windows Defender GEO.exe等。
為了持久化隱藏，Kraken 執行以下兩個命令：
powershell -Command Add-MpPreference -ExclusionPath %APPDATA%\Microsoft
attrib +S +H %APPDATA%\Microsoft\
PowerShell 命令控制 Microsoft Defender 不掃描 Kraken 所在目錄，而 attrib 控制檔案隱藏。
Kraken 利用登錄檔保持系統啟動時自啟動。
登錄檔項
登錄檔鍵值的名稱是另一個硬編碼值，早期版本名為 Networking Service，後期使用 Networking5 Servic1e、Networking5r Servirc1er等。
登錄檔項
每個版本中都保持不變的是：
ID：混淆的 UUID
INSTALL：安裝時間戳
LAST：空
NAME：混淆的檔案和執行金鑰
REMASTER：nil
VERSION：0.5.6
特徵
Kraken 的功能相對其他殭屍網路仍然是十分簡單的，主要將失陷主機的相關資訊回傳給 C&C 伺服器。收集資訊如下所示：
主機名
使用者名稱
構建 ID（TEST_BUILD_+第一次執行的時間戳）
CPU 資訊
GPU 資訊
作業系統和版本
Kraken 最初用於更新 Bot、執行 Payload 以及接收檔案等功能的下載檔案功能，在最新版本中已經合併為一個。
攻擊者曾經也增加了 SSH 爆破功能，但很快就被刪除了。C&C 伺服器傳送 ScreenShot命令，樣本就會擷取系統的螢幕截圖。
最近新增的功能是竊取加密貨幣錢包：
%AppData%\Zcash
%AppData%\Armory
%AppData%\bytecoin
%AppData%\Electrum\wallets
%AppData%\Ethereum\keystore
%AppData%\Exodus\exodus.wallet
%AppData%\Guarda\Local Storage\leveldb
%AppData%\atomic\Local Storage\leveldb
%AppData%\com.liberty.jaxx\IndexedDB\file__0.indexeddb.leveldb
目前支援的命令有：
Position
ScreenShot
SHELL
UPLOAD
命令解析程式碼
控制皮膚
自從 2021 年 10 月以來，控制皮膚已經更新了很多版本。儘管 GitHub 上的原始碼包含 C&C 伺服器的程式碼，但是並不包含控制皮膚。
Kraken
最初的皮膚是 Kraken皮膚，提供了基本的資料統計、上傳下載 Payload 以及與批量受控主機互動等功能。
控制皮膚
Anubis
當前的控制皮膚為 Anubis皮膚，提供的資訊比原有皮膚多得多。可以檢視歷史命令記錄與有關受害者的相關資訊。
控制皮膚
Anubis皮膚在後續更新中增加了選擇目標執行的能力，這樣可以更精細地控制攻擊目標。
指定執行
歷史記錄
隨著 Kraken 殭屍網路規模的不斷擴大，也在部署其他資訊竊密程式和挖礦程式，殭屍網路挖礦每月的收入大概在 3000 美元左右。
礦池資訊
結論
Kraken 的活動曾經一度減弱，但在短時間內就會啟用新埠或者新的 C&C 伺服器。通過對命令的監控，攻擊者專注於部署資訊竊密程式，特別是 RedLine Stealer。
IOC
65.21.105.85
91.206.14.151
95.181.152.184
185.112.83.22
185.112.83.96
185.206.212.165
213.226.71.125
1d772f707ce74473996c377477ad718bba495fe7cd022d5b802aaf32c853f115
d742a33692a77f5caef5ea175957c98b56c2dc255144784ad3bade0a0d50d088
ddf039c3d6395139fd7f31b0a796a444f385c582ca978779aae7314b19940812
dcaaef3509bc75155789058d79f025f14166386cec833c2c154ca34cfea26c52
54d36e5dce2e546070dc0571c8b3e166d6df62296fa0609a325ace23b7105335
095c223b94656622c81cb9386aefa59e168756c3e200457e98c00b609e0bb170
0f0cabb24d8cc93e5aed340cfc492c4008509f1e84311d61721a4375260a0911
2ced68e4425d31cca494557c29a76dfc3081f594ff01549e41d2f8a08923ef61
3215decffc40b3257ebeb9b6e5c81c45e298a020f33ef90c9418c153c6071b36
ef3e0845b289f1d3b5b234b0507c554dfdd23a5b77f36d433489129ea722c6bb
7c76ca5eb757df4362fabb8cff1deaa92ebc31a17786c89bde55bc53ada43864
48c2f53f1eeb669fadb3eec46f7f3d4572e819c7bb2d39f22d22713a30cc1846
43f46a66c821e143d77f9311b24314b5c5eeccfedbb3fbf1cd484c9e4f537a5d
8c4294e3154675cd926ab6b772dbbe0e7a49cae16f4a37d908e1ca6748251c43