F5安全研究院發現新型GoLang惡意軟體借漏洞挖掘加密貨幣

    近日，F5安全研究院（F5 Labs）的研究人員公布了近期發現的新型GoLang加密貨幣挖掘惡意軟體。該惡意軟體針對基於Linux的伺服器發起攻擊以挖掘XMR（門羅幣）。研究人員估算，已有數千臺機器受到殭屍網絡感染。

 

惡意軟體利用不同漏洞功能示例

發現惡意請求，為GO語言編寫的新型惡意軟體

    2019年6月14日，F5研究人員檢測到針對ThinkPHP（CVE-2019-9082和CVE未分配），Atlassian Confluence（CVE-2019-3396）和Drupal（CVE-2018-7600）（也稱為Druppalgeddon2）中漏洞的惡意請求。請求中傳遞的有效負載嘗試通過發送相同漏洞的方式進行傳播，同時試圖使用多個硬編碼憑據連接到Redis資料庫並通過SSH協議連接。最終目的是通過上述方法將加密貨幣挖掘惡意軟體安裝至伺服器，並感染其他伺服器以繼續傳播。此次攻擊行為中所利用的部分漏洞為常見目標，但發送的惡意軟體卻是用Go（GoLang）語言編寫。值得注意的是，Go是一種不常被用於創建惡意程序的新程式語言。

    Go語言已有將近十年的歷史，通常被大多數開發者合法使用，因此使用GoLang進行惡意軟體攻擊的活動並不常見。2019年1月，一個早期的GoLang惡意軟體樣本被分析並發布。
F5 Labs的研究人員捕獲的這一樣本與用Go編寫的Zebrocy惡意軟體變種和MalwareBytes分析的盜取程序不同。經過初步判斷，該樣本似乎來自一款新的惡意軟體，而該惡意軟體目前尚未被反病毒軟體供應商收錄，因為檢測到這一惡意軟體的反病毒軟體將其歸為一般惡意軟體類型。

瞄準Linux伺服器，惡意軟體以七種傳播方式

    該新型GoLang惡意軟體專門針對Linux 伺服器、通過七種不同的方式傳播：包括四類Web應用程式（兩種針對ThinkPHP, 一種針對Drupal, 一種針對Confluence)、SSH憑據枚舉、Redis資料庫密碼枚舉，以及嘗試使用已發現的SSH密鑰連接其他計算機。由於目前安裝加密挖掘軟體的行為已相當普遍，所以其傳播技術量級之大也成為一個明顯的特徵。

    隨著F5研究人員對該惡意軟體進行追本溯源，發現攻擊者使用了在線剪貼板pastebin網站來託管spearhead bash腳本，惡意軟體已託管在一個被入侵的中國電子商務網站上。追查過程中研究人員發現，在剪切板和GitHub上的帳戶於幾天前創建，並克隆了一個基於Golang的漏洞掃描程序項目，這表明攻擊者仍在實驗中。而根據剪貼板和GitHhub上的用戶名以及克隆項目推斷，研究員們懷疑這次攻擊可能是來自中國的黑客所為。

 

Pastebin上傳播惡意軟體的用戶信息示例

F5觀點：GoLang惡意軟體提示新的安全風險應引起注意

    儘管這一惡意軟體樣本並不是F5研究人員分析過的最複雜的類型，但它所具有的獨特性足以引起關注。然而攻擊者嘗試使用量重於質的模式來探索一種進入系統的方法，卻暴露了它的不成熟。

    GoLang惡意軟體首次出現是在2018年中期，並在2019年持續發生。由於Go 語言主要被開發者用於合法程序，通常不會被反病毒軟體收錄，也正因如此，GoLang開始被惡意攻擊者用作編寫惡意軟體的語言，使其逐漸走向了「黑暗」的一面， 致使Golang惡意軟體開始出現在威脅場景中。

    具有獨特性的威脅活動和惡意軟體只是F5 Labs不斷檢測的一部分威脅載體。獲取詳細技術細節可訪問F5 Labs網站博客。此外，作為F5旗下權威的安全研究機構，F5 Labs （https://www.f5.com/labs）致力於將應用威脅數據轉化為可利用的安全防護信息，通過分析並分享安全威脅場景助益網絡社區安全。