过期域名被利用控制超 4000 个受感染系统后门

HackerNews 编译，转载请注明出处：

通过控制被遗弃和过期的域名基础设施（每个域名仅需20美元），网络犯罪分子已劫持了此前由不同威胁行为者部署的至少4000个独特的网络后门。

网络安全公司WatchTowr Labs表示，其通过注册40多个后门原本用于命令与控制（C2）的域名，成功实施了此次行动。在与Shadowserver Foundation合作下，研究中涉及的域名已被封锁。

WatchTowr Labs首席执行官Benjamin Harris和研究人员Aliz Hammond在上周的技术报告中表示：“我们劫持了那些依赖现已被遗弃的基础设施和/或过期域名的后门，这些后门原本存在于其他后门之中，此后我们一直在观察结果如潮水般涌入。”

“这次劫持使我们能够追踪受感染的主机在‘报告’时的动向，并在理论上使我们有权接管和控制这些受感染的主机。”

通过信标活动识别的受感染目标包括孟加拉国、中国和尼日利亚的政府机构，以及中国、韩国和泰国等地的学术机构。

这些后门其实是网络外壳，旨在为目标网络提供持续的远程访问，以便进行后续利用，其范围和功能各不相同：

• 能够通过PHP代码执行攻击者提供的命令的简单网络外壳
• c99shell
• r57shell
• China Chopper，一种由中国关联的高级持续性威胁（APT）组织广泛共享的网络外壳

c99shell和r57shell都是功能全面的网络外壳，能够执行任意代码或命令、执行文件操作、部署额外的有效载荷、暴力破解FTP服务器，并从受感染的主机上自行删除。

WatchTowr Labs表示，其观察到一些网络外壳被脚本维护人员植入后门，以泄露其部署位置，从而无意中也将控制权交给了其他威胁行为者。

此次发现发生在该公司揭示其仅花费20美元便收购了一个与.mobi顶级域名（TLD）相关的旧版WHOIS服务器域名（“whois.dotmobiregistry[.]net”）之后几个月。该域名帮助识别出超过135000个独特系统，这些系统即使在迁移到“whois.nic[.]mobi”后仍与该服务器保持通信。

这些系统包括VirusTotal等各种私营企业，以及无数政府、军事和大学实体的邮件服务器。其中，.gov地址来自阿根廷、孟加拉国、不丹、埃塞俄比亚、印度、印度尼西亚、以色列、巴基斯坦、菲律宾、乌克兰和美国。

WatchTowr Labs表示：“看到攻击者和防御者犯同样的错误，这多少有些令人鼓舞。人们很容易陷入攻击者从不犯错的思维定式，但我们看到了相反的证据——存在开放网络外壳、过期域名和使用已被植入后门的软件的计算机。”

消息来源：The Hacker News, 编译：zhongx； 

本文由 HackerNews.cc 翻译整理，封面来源于网络；  

转载请注明“转自 HackerNews.cc”并附上原文