新型 Linux 殭屍網路變種“EnemyBot”現身!利用 Web 伺服器、Android 及 CMS 漏洞進行攻擊

MissD 發表於 2022-06-06
Linux Android

近日,一款基於 Linux 的殭屍網路新變種“Enemybot”現身,該“Enemybot”被發現已將其攻擊目標擴充套件到針對 Web 伺服器、Android 裝置和內容管理系統(CMS)的安全漏洞。

新型 Linux 殭屍網路變種“EnemyBot”現身!利用 Web 伺服器、Android 及 CMS 漏洞進行攻擊

上週,美國電話電報公司外星人實驗室(AT&T Alien Labs)在釋出的一份技術報告中表示:“該惡意軟體(Enemybot)正在迅速將 1day 漏洞作為其攻擊能力的一部分”。“VMware Workspace ONE、Adobe ColdFusion、WordPress、PHP Scriptcase 等服務以及 IoT 和 Android 裝置都將成為目標。”

新型 Linux 殭屍網路變種“EnemyBot”現身!利用 Web 伺服器、Android 及 CMS 漏洞進行攻擊

有報導稱,早在今年 3 月份,Enemybot 就首次被 Securonix 就披露過,後來又被 Fortinet 披露。Enemybot 與一名被追蹤為 Keksec(又名 Kek Security、Necro 和 FreakOut)的威脅行為人有關聯,早期的攻擊目標是來自 Seowon Intech、D-Link 和 iRZ 的路由器。

Enemybot:殭屍網路新變種

所謂殭屍網路“Botnet”,是指採用一種或多種傳播手段將大量主機感染 bot 程式(殭屍程式)病毒,從而在控制者和被感染主機之間所形成的一個可一對多控制的網路 。“攻擊者通過各種途徑傳播殭屍程式感染網際網路上的大量主機,而被感染的主機將通過一個控制通道接收攻擊者的指令,組成一個殭屍網路”。

據瞭解,此次能夠執行 DDoS 攻擊的 Enemybot 是殭屍網路的新變種,且源自其他幾個殭屍網路(如 Mirai、Qbot、Zbot、Gafgyt 和 LolFMe)。

此次最新變種的分析結果表明,Enemybot 由以上四種殭屍網路的不同部分組合而成:

  • 一個 Python 模組,用於下載依賴項並編譯不同 OS 架構的惡意軟體
  • 殭屍網路的核心部分
  • 設計用於編碼和解碼惡意軟體字串的混淆段
  • 用於接收攻擊命令和獲取額外有效載荷的命令和控制功能

研究人員指出,如果 Android 裝置通過 USB 連線,或通過機器上執行的 Android 模擬器連線,EnemyBot 就會嘗試通過執行 shell 命令( "adb_infect"功能)來“感染”它。adb 指的是 Android 除錯橋,一種用於與Android 裝置通訊的命令列實用程式。

此外,EnemyBot 還整合了一個新的掃描功能,該功能旨在搜尋與面向公眾的資產相關的隨機 IP地址,以查詢潛在安全缺陷,包括公開披露後幾天內出現的新漏洞。

新型 Linux 殭屍網路變種“EnemyBot”現身!利用 Web 伺服器、Android 及 CMS 漏洞進行攻擊
新型 Linux 殭屍網路變種“EnemyBot”現身!利用 Web 伺服器、Android 及 CMS 漏洞進行攻擊

比如除 2021 年 12 月曝光的 Log4Shell 漏洞外,這還包括 Razer Sila 路由器(無 CVE)、VMware Workspace ONE Access(CVE-2022-22954)和 F5 BIG-IP(CVE-2022-1388)中最近修補的缺陷,以及 Video Synchro PDF 等 WordPress 外掛中的缺陷。

其他安全缺陷如下:

  • CVE-2022-22947(CVSS分數:10.0)-Spring Cloud Gateway 中的程式碼注入漏洞
  • CVE-2021-4039(CVSS分數:9.8)-Zyxel 的 Web 介面中存在命令注入漏洞
  • CVE-2022-25075(CVSS分數:9.8)-TOTOLink A3000RU 無線路由器中的命令注入漏洞
  • CVE-2021-36356(CVSS分數:9.8)-KRAMER VIAware 中的遠端程式碼執行漏洞
  • CVE-2021-35064(CVSS分數:9.8)-Kramer VIAWare 中的許可權提升和命令執行漏洞
  • CVE-2020-7961(CVSS分數:9.8)-Liferay Portal 中的遠端程式碼執行漏洞

目前,該殭屍網路“EnemyBot”的原始碼已在 GitHub 上共享,使其可廣泛用於其他威脅行為體。

GitHub 上關於該專案的自述檔案寫道:“我不對該程式造成的任何損害負責”。“This is posted under Apache license and is also considered art"(這是根據 Apache 許可證釋出的,也被視為藝術)。”

研究人員表示:“Keksec 的 Enemybot 似乎剛剛開始傳播,但由於作者的快速更新,這種殭屍網路有可能成為物聯網裝置和 Web 伺服器的主要威脅”。

“這表明 Keksec 小組資源充足,該小組開發了惡意軟體,以便在修補漏洞之前利用漏洞,從而提高了其傳播的速度和規模。”

新型 Linux 殭屍網路變種“EnemyBot”現身!利用 Web 伺服器、Android 及 CMS 漏洞進行攻擊

據報導,EnemyBot 屬於 Keksec 殭屍網路家族新成員,同樣由 Gafgyt 修改而來。其惡意程式大量複用同屬 Keksec 殭屍網路家族程式的程式碼(包括 LOLFME、Gafgyt、Gafgyt_Tor、Necro 等)。

由於 EnemyBot 是一款基於多個惡意軟體程式碼的殭屍網路,且正在通過快速新增漏洞利用來擴大其影響範圍,目前其新變種已經新增了24 個針對不同裝置和 Web 伺服器的漏洞利用。

參考連結:https://thehackernews.com/202...