Linux僵尸网络Mayhem通过Shellshock漏洞传播

安全
Shellshock的影响还在继续:攻击者正在利用最近Bash命令行解释器发现的漏洞,通过复杂的恶意软件程序Mayhem来感染Linux服务器。

Shellshock的影响还在继续:攻击者正在利用最近Bash命令行解释器发现的漏洞,通过复杂的恶意软件程序Mayhem来感染Linux服务器。

[[121052]]

Mayhem在今年早些时候被发现,由俄罗斯互联网公司Yandex进行了彻底的分析。该恶意软件通过PHP脚本进行安装,该脚本是由攻击者通过感染FTP密码、网站漏洞或者暴力破解网站管理登录凭证而上传到服务器。

Mayhem的主要组件是一个恶意ELF(可执行和可链接格式)库文件,在安装后,该文件会下载额外的插件并将它们存储在隐藏的加密文件系统中。这些插件允许攻击者使用新感染的服务器来攻击和感染其他的网站。

在七月份,Yandex研究人员估计该僵尸网络包含约1400台受感染的服务器,这些服务器被链接到两台独立的命令控制服务器。

来自独立研究公司Malware Must Die(MMD)的研究人员在本周早些时候报告称,Mayhem的编写者已经添加了Shellshock漏洞利用到该僵尸网络的武器库。

Shellshock是最近在Linux Bash命令行解释器中发现的多个漏洞的统称。这些漏洞可以被利用来实现对服务器的远程代码执行,通过几个攻击向量,包括CGI(公共网关接口)、OpenSSH、DHCP(动态主机配置协议),在某些情况下甚至还有OpenVPN。

根据MMD公司研究人员表示,源自于Mayhem僵尸网络的Shellshock攻击瞄准着具有CGI支持的web服务器。僵尸机器会探测web服务器是否容易受到Bash漏洞的攻击,然后利用它们来执行Perl脚本。

该脚本具有恶意Mayhem ELF二进制文件,针对32位和64位CPU架构,这些架构嵌入其中作为十六进制数据,并使用LD_PRELOAD函数来提取和运行它们。

与之前的版本一样,它创建了隐藏的文件系统,用来存储其额外的组件和插件,这些工具可用于对其他系统进行各种扫描和攻击。MDL研究人员认为,这些组件中的某个组件已经升级为利用新的Shellshock漏洞利用,但还没有得到证实。

然而,这个理论并不是空穴来风,事实证明,有些已经观察到的Shellshock攻击尝试源自于与现有Mayhem僵尸网络相关的IP(互联网协议)地址,除了来自英国、印度尼西亚、波兰、奥地利、澳大利亚和瑞典的新的IP地址外。MMD公司已经将其收集的信息分享给了国家计算机应急响应小组(CERTs)。

大多数Linux发行版都已经发布了修复Shellshock漏洞的补丁,但很多web服务器,特别是自我管理的服务器,还没有配置为自动部署更新。还有很多基于Linux的企业产品和嵌入式设备包含web服务器,容易受到Shellshock漏洞影响。如果这些产品没有安装补丁或者还没有可用补丁,它们都可能成为攻击目标。(邹铮编译)

责任编辑:蓝雨泪 来源: 网界网
相关推荐

2021-12-12 09:22:28

Moobot僵尸网络网络攻击

2013-09-11 16:25:59

2014-09-30 09:56:03

2014-09-28 14:41:40

2014-09-29 10:46:48

2013-01-18 09:39:28

2014-09-26 15:57:52

2013-09-17 13:56:02

2014-09-26 15:29:13

2010-05-09 19:20:11

2014-10-08 10:15:17

2014-09-19 09:13:16

2009-09-15 09:49:01

2022-05-30 11:50:45

僵尸网络Sysrv-K

2014-12-24 12:34:48

2014-10-31 09:12:41

2013-05-31 09:56:54

2020-08-26 11:02:00

僵尸网络智能家居网络攻击

2020-06-19 16:02:03

物联网僵尸网络DDoS攻击

2015-10-09 10:25:51

点赞
收藏

51CTO技术栈公众号