linux-botnet-malware

Gitpaste-12 僵尸网络重新瞄准 Linux 服务器和物联网设备

  • 浏览次数 42455
  • 喜欢 0
  • 评分 12345

一种新的蠕虫僵尸网络通过GitHub和Pastebin传播,在目标系统上安装加密货币矿工和后门,并扩展了攻击web应用程序、IP摄像机和路由器的能力。

上个月初,Juniper威胁实验室的研究人员记录了一个名为“Gitpaste-12”的加密挖掘活动,该活动使用GitHub来托管包含多达12个已知攻击模块的恶意代码,这些代码通过从Pastebin URL下载的命令执行。

这些攻击发生在2020年10月15日开始的12天中,而Pastebin URL和存储库于2020年10月30日被关闭。

现在,根据Juniper的说法,第二波攻击始于11月10日,使用的是来自不同GitHub存储库的有效负载,其中包括一个Linux加密矿工(ls)、一个包含暴力尝试密码列表的文件(pass),以及一个针对x86_64 Linux系统的本地权限提升漏洞。

最初的感染是通过X10-unix(一种用Go编程语言编写的二进制文件),然后从GitHub下载下一阶段的有效负载。

Juniper的研究员Asher Langton指出,“该蠕虫针对web应用程序、IP摄像头、路由器等进行了一系列广泛的攻击,涉及至少31个已知漏洞(其中7个漏洞在之前的Gitspaste-12示例中也出现过),试图破坏开放的Android Debug Bridge连接和现有恶意软件后门。”

1

31个漏洞中包括F5 BIG-IP流量管理用户界面(CVE-2020-5902)、Pi-hole Web(CVE-2020-8816)、Tenda AC15 AC1900(CVE-2020-10987)、vBulletin(CVE-2020-17496),以及FUEL CMS(CVE-2020-17463),这些漏洞都是今年曝光的。

值得注意的是,今年10月,人们观察到Mirai僵尸网络的新变种Ttint利用包括CVE-2020-10987在内的两个Tenda路由器零日漏洞,传播能够执行拒绝服务攻击、执行恶意命令、实现远程访问的反向shell的远程访问木马(RAT)。

除了在机器上安装X10-unix和Monero加密挖掘软件外,该恶意软件还打开了监听端口30004和30006的后门,将受害者的外部IP地址上传到私有的Pastebin,并试图连接到5555端口上的Android Debug Bridge连接。

连接成功后,它继续下载Android APK文件(“weixin.apk”),最终安装了一个ARM CPU版本的X10-unix。

据Juniper估计,总共至少有100个不同的宿主被发现传播这种感染。

完整的恶意二进制文件和其他与活动相关的危害指标(IOC)可以在这里访问。

 

 

 

消息及封面来源:The Hacker News ;译者:芋泥啵啵奶茶。

本文由 HackerNews.cc 翻译整理。

转载请注明“转自 HackerNews.cc ”