报告
在工作完成且经批准发布后公开的研究记录。可通过 RSS 订阅。
-
Threat teardown
godhive: A Novel Rust Crypto-Stealer and Miner Framework
Kinryū Labs analysed godhive, a novel and undocumented Rust offensive framework caught abusing an exposed Docker API on our honeypot network. It mines Monero, drains cryptocurrency wallets across major exchanges and more than eight blockchains, spreads as a worm, and hides behind a command channel built to survive takedown. We assess with high confidence that it is purpose-built crimeware, and that it was deployed by a single developer field-testing their own tool from a consumer mobile connection.
malware · cryptojacking · crypto-stealer · rust · docker · worm
-
Threat teardown
Inside a Gaming DDoS-for-Hire Operation
Kinryū Labs assesses with high confidence that this is a commercial gaming DDoS-for-hire operation running on a shared botnet builder kit. The same Go codebase is compiled by different operators with their own C2 servers and attack loadouts; the fleet analysed here fronts a self-serve, account-gated for-hire API and a live bot inventory of roughly 28 to 32 devices, dispatching customer attack orders against gaming and voice infrastructure. Its raw-TCP command channel is unauthenticated while bot registration is gated behind a password-authenticated SSH channel.
malware · botnet · ddos · golang · iot · honeypot
-
Threat teardown
一个跨平台的 Go DDoS 出租型僵尸网络
Kinryū Labs 分析了 bot.exe——一个 Go 编译的 DDoS 僵尸网络的 Windows 构建版本，它以一套包含 11 个二进制、覆盖 13 种架构的投放器套件形式分发，并通过一场为期数天的 Jenkins Script Console 利用行动投递。对暂存主机的侦察发现了一个在线的、需认证的 DDoS 出租 API、一个 Go 编写的 SSH 命令通道，以及一个同宿的 Mirai 血统家族。我们以高置信度评估，这是一场商业化的 DDoS 出租行动。
malware · botnet · ddos · golang · iot · jenkins
-
Threat teardown
Kworker：自带卸载程序的挖矿木马
Kinryū Labs 捕获到一个 8220 血统的挖矿木马，在大约五秒内就把一个开放、无密码的 Redis 端口变成了 root shell。这个名为 kworker、长达 636 行的 shell 脚本投放器，用厂商自己的工具卸载阿里云和腾讯云的云安全 agent，花 200 行代码清除竞争对手的矿工，给 SSH 留后门，把一个 XMRig 门罗币矿工藏在伪造的 ps、top 和 pstree 背后，并尝试继续蠕虫式传播。
malware · cryptomining · redis · linux · honeypot · monero
-
Coordinated disclosure native.org
开放的 Kibana 暴露了 native.org 的交易技术栈
在一次威胁情报研究中，Kinryū Labs 发现了一个属于 native.org 的未经身份验证的 Kibana 实例，它暴露了其完整的交易技术栈架构，并以明文记录了有效的 API 密钥。native.org 已限制访问并轮换了密钥。
coordinated-disclosure · kibana · elasticsearch · data-exposure · defi · cloud-misconfiguration
-
Threat teardown CVE-2026-31431
Rootpacket：一个藏身内核的 Linux 挖矿木马工具包
Kinryū Labs 分析了 Rootpacket，一个 Linux 挖矿木马工具包：它携带一个内核 rootkit 来伪造 CPU 与内存占用，通过 CVE-2026-31431（一个 AF_ALG 页缓存缺陷，还能从容器逃逸到主机）提权到 root，伪装成 Intel 驱动，并关闭竞争对手矿工赖以进入的那些暴露服务。
malware · cryptomining · rootkit · linux · kernel · monero
-
Threat teardown
深入一场 RedTail 行动：通过暴露的 Docker API 自我传播
Kinryū Labs 的蜜罐捕获到 RedTail 挖矿木马通过未认证的 Docker Engine API 传播并投放 SSH 密钥。本文记录了一个当前、完整捕获的实例，含加载器、竞争对手清除脚本、矿工本体以及实时指标。
malware · cryptomining · redtail · docker · linux · honeypot