通報：Confluence遠端程式碼執行漏洞（CVE-2021-26084）被黑產大規模利用

8月26日，Atlassian官方釋出公告，披露了一個Atlassian Confluence 遠端程式碼執行漏洞（CVE-2021-26084)，攻擊者利用漏洞可完全控制伺服器。8月31日晚，騰訊雲原生安全漏洞檢測響應平臺透過主機安全（雲鏡）檢測到首個利用該漏洞的在野攻擊案例。

 

騰訊安全旗下全系列企業級產品均已支援檢測防禦利用Atlassian Confluence遠端程式碼執行漏洞的攻擊活動。

騰訊雲上安全產品全棧提供針對Confluence遠端程式碼執行漏洞的檢測防護能力，政企使用者運維人員掃描識別以下二維碼，新增騰訊安全小秘書，即可申請免費試用。

騰訊安全專家指出，儘管我們迅速作出響應，及時向公眾通報本次安全漏洞的風險，併成功在其他研究人員將漏洞POC(概念驗證程式碼）上傳到Github之前10小時檢測到攻擊測試流量，但網路黑產利用該漏洞發起攻擊的速度之快，令團隊成員印象深刻。

 

騰訊安全專家再次提醒所有采用Atlassian Confluence作知識管理和協同應用的政企客戶，儘快升級到安全版本以修復漏洞。騰訊安全網路空間測繪資料顯示，Atlassian Confluence應用廣泛，中國佔比為全球最高（21.46%）、其次是美國（21.36%）、德國（18.40%）。

 

截止9月2日，騰訊安全團隊已檢測到至少7個網路黑產團伙在利用該漏洞發起的攻擊行動，已部署騰訊T-Sec主機安全專業版、T-Sec Web應用防火牆的客戶成功抵禦駭客攻擊，保護數千臺主機免於失陷。 

 

騰訊安全檢測到駭客攻擊活動示例：

1. kwroksminer挖礦木馬家族利用CVE-2021-26084漏洞的攻擊

 

2.h2miner挖礦木馬家族利用CVE-2021-26084漏洞的攻擊

 

3. 8220Miner挖礦木馬家族利用CVE-2021-26084漏洞的攻擊

 

4.mirai殭屍網路利用CVE-2021-26084漏洞的攻擊

 

5.BillGates殭屍網路利用CVE-2021-26084漏洞的攻擊

 

時間線：

1.2021年8月25日，Atlassian官方釋出安全通告，披露了一個Atlassian Confluence 遠端程式碼執行漏洞（CVE-2021-26084)，攻擊者利用漏洞可以完全控制伺服器；
2.2021年8月26日，騰訊安全釋出風險通告；
3.2021年8月31日，騰訊安全捕獲Atlassian Confluence 遠端程式碼執行漏洞在野利用；
4. 2021年9月1日，漏洞poc公開在Github；
5.2021年9月1日晚，騰訊安全檢測到多個不同的挖礦木馬團伙、殭屍網路團伙利用Atlassian Confluence 遠端程式碼執行漏洞洞攻擊雲主機；
6.2021年9月2日，騰訊安全檢測到利用該漏洞攻擊的黑產團伙增加到7個，挖礦家族5個：kwroksminer，iduckminer，h2miner，8220Miner，z0miner；殭屍網路家族2個：mirai，BillGates，騰訊安全全棧安全產品成功保護數千臺雲主機免於失陷。

 

IOCs

URL

hxxps://raw.githubusercontent.com/alreadyhave/thinkabout/main/kwork.sh

hxxps://zgpay.cc/css/kwork.sh

hxxp://iduck.it/index.js

hxxp://iduck.it:58441/ld.sh

hxxp://178.238.226.127:58321/ld.sh

hxxp://195.19.192.28/cf.sh

hxxp://209.141.40.190/xms

hxxp://209.141.40.190/wxm.exe

hxxp://27.1.1.34:8080/docs/s/conf.txt

hxxp://185.142.236.33/mirai.x86

hxxp://213.202.230.103/syn

 

IP

109.237.96.124

122.118.114.152

125.212.150.123

185.244.148.215

195.19.192.26 

196.240.57.172

2.57.33.43    

213.173.35.232

213.202.230.103

223.71.46.114 

34.125.87.11  

45.155.205.249

62.76.41.46   

82.102.25.52  

89.223.91.225

 

參考資料：

https://mp.weixin.qq.com/s/11c203ejxfb9ZBXtyjEhvg

https://confluence.atlassian.com/doc/confluence-security-advisory-2021-08-25-1077906215.html