Linux殭屍網絡通過Shellshock漏洞傳播

2021-01-06 和訊科技

　　Shellshock的影響還在繼續：攻擊者正在利用最近Bash命令行解釋器發現的漏洞，通過複雜的惡意軟體程序Mayhem來感染Linux伺服器。

　　Mayhem在今年早些時候被發現，由俄羅斯網際網路公司Yandex進行了徹底的分析。該惡意軟體通過PHP腳本進行安裝，該腳本是由攻擊者通過感染FTP密碼、網站漏洞或者暴力破解網站管理登錄憑證而上傳到伺服器。

　　Mayhem的主要組件是一個惡意ELF(可執行和可連結格式)庫文件，在安裝後，該文件會下載額外的插件並將它們存儲在隱藏的加密文件系統中。這些插件允許攻擊者使用新感染的伺服器來攻擊和感染其他的網站。

　　在七月份，Yandex研究人員估計該殭屍網絡包含約1400臺受感染的伺服器，這些伺服器被連結到兩臺獨立的命令控制伺服器。

　　來自獨立研究公司Malware Must Die(MMD)的研究人員在本周早些時候報告稱，Mayhem的編寫者已經添加了Shellshock漏洞利用到該殭屍網絡的武器庫。

　　Shellshock是最近在Linux Bash命令行解釋器中發現的多個漏洞的統稱。這些漏洞可以被利用來實現對伺服器的遠程代碼執行，通過幾個攻擊向量，包括CGI(公共網關接口)、OpenSSH、DHCP(動態主機配置協議)，在某些情況下甚至還有OpenVPN。

　　根據MMD公司研究人員表示，源自於Mayhem殭屍網絡的Shellshock攻擊瞄準著具有CGI支持的web伺服器。殭屍機器會探測web伺服器是否容易受到Bash漏洞的攻擊，然後利用它們來執行Perl腳本。

　　該腳本具有惡意Mayhem ELF二進位文件，針對32位和64位CPU架構，這些架構嵌入其中作為十六進位數據，並使用LD_PRELOAD函數來提取和運行它們。

　　與之前的版本一樣，它創建了隱藏的文件系統，用來存儲其額外的組件和插件，這些工具可用於對其他系統進行各種掃描和攻擊。MDL研究人員認為，這些組件中的某個組件已經升級為利用新的Shellshock漏洞利用，但還沒有得到證實。

　　然而(+本站微信networkworldweixin)，這個理論並不是空穴來風，事實證明，有些已經觀察到的Shellshock攻擊嘗試源自於與現有Mayhem殭屍網絡相關的IP(網際網路協議)地址，除了來自英國、印度尼西亞、波蘭、奧地利、澳大利亞和瑞典的新的IP位址外。MMD公司已經將其收集的信息分享給了國家計算機應急響應小組(CERTs)。

　　大多數Linux發行版都已經發布了修復Shellshock漏洞的補丁，但很多web伺服器，特別是自我管理的伺服器，還沒有配置為自動部署更新。還有很多基於Linux的企業產品和嵌入式設備包含web伺服器，容易受到Shellshock漏洞影響。如果這些產品沒有安裝補丁或者還沒有可用補丁，它們都可能成為攻擊目標。

（責任編輯： HN666）

相關焦點

  • Shellshock 漏洞面臨失控,雅虎和WinZip中招
    安全研究人員 Jonathan Hall近日聲稱發現了一個羅馬尼亞黑客搭建的殭屍網絡，利用Shellshock漏洞控制了大量知名網際網路公司的伺服器，包括雅虎和壓縮工具軟體WinZip的官網。Jonathan Hall最近發布了雅虎伺服器的漏洞報告，並透露雅虎已經承認有兩臺遊戲伺服器（dip4.gq1.yahoo.com和api118.sports.gq1.yahoo.com）被殭屍網絡入侵並取得root權限。據Hall透露，發現雅虎殭屍伺服器事出偶然。
  • 騰訊安全:亡命徒(Outlaw)殭屍網絡感染2萬臺伺服器,政企須提高警惕
    近日，騰訊安全威脅情報中心檢測到國內大量企業遭遇亡命徒（Outlaw）殭屍網絡攻擊。攻擊者通過暴力破解使用SSH服務的機器來擴大殭屍網絡的規模，最後通過加密貨幣挖礦來盈利。值得注意的是，遭爆破攻擊後，攻擊者將獲得對目標伺服器的完全控制權，危害極大。
  • 專題:Bash驚現Shellshock漏洞 威脅堪比心臟出血_51CTO.COM
    蘋果表示已經獲悉近日爆出的Bash軟體的「Shellshock漏洞"，並正在加緊推出針對修復該漏洞的OS X系統補丁。由於Bash是基於UNIX的OS X系統使用的shell腳本，因此「Shellshock」漏洞影響的範圍包括所有基於Unix的系統與大部分Linux系統。
  • 亡命徒再度襲來,已感染國內約2萬臺Linux伺服器
    近日，騰訊安全威脅情報中心檢測到國內大量企業遭遇亡命徒（Outlaw）殭屍網絡攻擊。攻擊者通過暴力破解使用SSH服務的機器來擴大殭屍網絡的規模，最後通過加密貨幣挖礦來盈利。值得注意的是，遭爆破攻擊後，攻擊者將獲得對目標伺服器的完全控制權，危害極大。
  • 亡命徒(Outlaw)再度襲來,已感染國內約2萬臺Linux伺服器
    攻擊者通過暴力破解使用SSH服務的機器來擴大殭屍網絡的規模，最後通過加密貨幣挖礦來盈利。值得注意的是，遭爆破攻擊後，攻擊者將獲得對目標伺服器的完全控制權，危害極大。　　根據騰訊安全威脅情報中心數據顯示，該殭屍網絡已造成國內約2萬臺Linux伺服器感染，影響上萬家企業。騰訊安全專家建議政企用戶提高警惕，以防中招。
  • 2 月頭號惡意軟體 Mirai 殭屍網絡,傳播的漏洞利用率大幅增加
    2月，針對Mirai殭屍網絡傳播的漏洞利用率大幅增加。該殭屍網絡因感染物聯網設備和進行大規模DDoS攻擊而臭名昭著。這個被稱為「PHPphp-cgi查詢字符串參數執行代碼」的漏洞在最常被利用的漏洞排行榜中位列第六，影響了全球20%的組織，而2020年1月其波及率僅為2%。
  • 「驅動人生」殭屍網絡伺機而「洞」,新增SMBGhost漏洞利用模塊
    經360安全大腦分析發現，SMBv3漏洞（又稱SMBGhost漏洞，CVE-2020-0796）所具備的「零接觸遠程」攻陷受害目標機器的特性，對「驅動人生」殭屍網絡擴散簡直如虎添翼，如不加以防範，極可能誘發新一輪的殭屍網絡肆虐。不過廣大用戶不必過分擔心，360安全衛士不僅已在第一時間支持SMBv3漏洞的無補丁修復，並可高效攔截查殺「驅動人生」殭屍網絡攻擊。
  • 為何修復 Shellshock 漏洞像打地鼠
    GNU Bourne Again Shell(bash)的Shellshock漏洞影響了廣泛使用bash的Unix/Linux伺服器，由於它允許遠程執行代碼獲得與系統管理員相同的 權限去控制系統而被認為破壞力超過
  • 「驅動人生」殭屍網絡全網撿漏,SMBv3「蠕蟲級」漏洞秒入武器庫
    用野火燒不盡，春風吹又生，來形容「死而不滅」的殭屍網絡最合適不過。6月9日，360安全大腦監測到「驅動人生」殭屍網絡的高危異動，其原有的殭屍模塊進行大規模更新，增加「SMBv3漏洞利用」模塊與「Redis未授權訪問漏洞利用」模塊，意圖利用最新曝光的高危「蠕蟲式」漏洞，擴展入侵範圍感染更多計算機謀利。
  • 新一代大規模殭屍網絡Reaper可以通吃一切漏洞
    該殭屍網絡正快速發展壯大，主要由無線網絡攝像頭和網絡視頻監控設備等之類的物聯網設備組成，其發展速度遠遠超過了2016年的Mirai殭屍網絡，後者曾感染了超過全球範圍內的一百多萬個物聯網設備。根據奇虎360 Netlab安全研究人員的跟蹤研究，目前已經有大約3萬個智能設備確定被感染了，另外還有大約200萬個物聯網設備處於潛在的威脅中。
  • 「驅動人生」殭屍網絡新增SMBGhost漏洞利用模塊,Win10恐成威脅重...
    經360安全大腦分析發現，SMBv3漏洞(又稱SMBGhost漏洞，CVE-2020-0796)所具備的「零接觸遠程」攻陷受害目標機器的特性，對「驅動人生」殭屍網絡擴散簡直如虎添翼，如不加以防範，極可能誘發新一輪的殭屍網絡肆虐。不過廣大用戶不必過分擔心，360安全衛士不僅已在第一時間支持SMBv3漏洞的無補丁修復，並可高效攔截查殺「驅動人生」殭屍網絡攻擊。
  • 帶你玩轉 Linux Shellcode
    目前網絡上流傳的通用shellcode，均使用系統調用實現，在記錄整個學習過程的同時分享給大家一起學習探討。　　0x01 Shellcode 簡介　　0x1 shellcode　　Shellcode 是一段可以執行特定功能的特殊彙編代碼，在設備漏洞利用過程中注入到目標程序中從而被執行，在比賽或者是實戰中棧溢出漏洞使用的更為頻繁，編寫Shellcode比編寫RopGagdet更為簡單，棧溢出的最經典的利用方式是Ret2Shellcode。
  • 帶你玩轉 Linux Shellcode
    目前網絡上流傳的通用shellcode，均使用系統調用實現，在記錄整個學習過程的同時分享給大家一起學習探討。0x2 exploit 與 shellcode關係exploit主要強調執行控制權，而shellcode更關注於有了控制權之後的功能。因此shellcode更像是exploit的載荷，往往對於不同漏洞來講exploit是特殊的，而shellcode會具有一些通用性。
  • 多次DDoS攻擊&殭屍網絡利用零日漏洞入侵LILIN監控系統!
    多次DDoS攻擊&殭屍網絡利用零日漏洞入侵LILIN監控系統！ 隨著物聯網設備越來越多地被用作發起DDoS攻擊的攻擊面，以及參與各種形式的網絡犯罪的代理，物聯網的發展應運而生。
  • 2020版Smokeloader殭屍網絡變種分析
    1 概述 近期，安天CERT通過網絡監測發現了一起殭屍網絡事件，經分析人員判定，該殭屍網絡名為Smokeloader主要通過垃圾郵件攜帶惡意宏代碼的Office文檔進行傳播，該樣本具備遠程下載其它組件、竊取用戶敏感信息和發起DDoS攻擊等功能。該殭屍網絡曾被發現用來傳播GandCrab勒索軟體[1]、Kronos銀行木馬[2]等多款臭名昭著的惡意軟體。
  • linux兩個好玩的漏洞:長按回車繞過+按28次Backspace鍵
    70秒，黑客就在linux系統繞過認證，從而獲取root權限，並能遠程控制經過加密的linux系統。也就是說，如果你重複93次輸錯密碼，或者持續按回車鍵大概70秒，你就能夠獲得root initramfs (initial RAM filesystem) shell。獲取shell之後，你就可以複製、修改或者破壞整個硬碟，或者也可以使用網絡傳輸數據。
  • 《2019年雲上挖礦殭屍網絡趨勢報告》首發：挖礦木馬全面蠕蟲化
    ，成為挖礦木馬新型利用方式；挖礦殭屍網絡團夥頻繁利用熱門N-Day漏洞傳播,N-Day漏洞留給用戶進行修復的窗口期變短；挖礦木馬使用的安全對抗技術、資源競爭技術愈加純熟，這要求企業具備更專業的安全應急響應能力。
  • Linux.BtcMine.174 木馬關鍵shell代碼分析和學習
    最近流行一種新型的挖礦木馬Linux.BtcMine.174，該木馬組合了多個組件通過ssh弱密碼和面密碼的證書憑據傳播，感染Linux設備並用用於挖礦和Ddos攻擊。木馬特徵行為和以前的木馬也沒有什麼多少差異，但是該木馬包含了大概1000多行的shell腳本，其中很多腳本寫得很巧妙，可以作為shell學習的好材料。
  • Linux前世今生（三）Unix Shell
    unset, echo, type – SVR2 shell (1984)Source code de-ALGOL68-ized – SVR2 shell (1984)Modern &34; – SVR3 shell (1986)Built-in getopts – SVR3 shell (1986)Cleaned up parameter
  • 如何在Kali Linux上編譯Windows漏洞!
    您可以在以下頁面上找到不同版本的Kali Linux的存儲庫： http://docs.kali.org/general-use/kali-linux-sources-list-repositories 使用sources.list文件中的正確的存儲庫，您需要運行apt-get update，然後再次運行Mingw-w64軟體包的安裝命令。