搜索

[16143] 2020-11-28_利用GitHub传播？蠕虫僵尸网络Gitpaste-12分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-11-28_利用GitHub传播？蠕虫僵尸网络Gitpaste-12分析 利 用 G i t H u b 传 播 ？ 蠕 虫 僵 尸 网 络 G i t p a s t e - 1 2 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 1 1 - 2 8 写 在 前 面 的 话 写 在 前 面 的 话 几 个 月 前 ， O c t o p u s   S c a n n e r 被 发 现 感 染 了 G i t H u b 上 的 2 6 个 开 源 项 目 ， 而 就 在 几 个 月 后 ， 又 有 新 的 报 告 显 示 了 另 一 个 复 杂 的 恶 意 软 件 感 染 链 ， 即 本 文 的 主 角 ： G i t p a s t e - 1 2 。 它 是 一 个 蠕 虫 僵 尸 网 络 ， 这 个 蠕 虫 僵 尸 网 络 采 用 了 非 常 先 进 的 技 术 ， 并 且 拥 有 非 常 强 大 的 功 能 ， 可 以 利 用 像 G i t H u b 和 P a s t e b i n 这 样 值 得 信 赖 的 网 站 来 托 管 自 己 的 恶 意 代 码 。 G i t p a s t e - 1 2 在 蠕 虫 主 体 程 序 中 使 用 了 1 2 个 已 知 的 安 全 漏 洞 ， 因 此 得 名 G i t p a s t e - 1 2 ， 这 就 有 点 “ 瑞 士 K n i f e ” 的 味 道 了 。 而 其 中 有 两 个 漏 洞 针 对 的 是 当 前 热 门 的 开 源 组 件 ， 即 A p a c h e   S t r u t s 和 m o n g o D B 。 在 在 G i t H u b 上 隐 藏 了 超 过 上 隐 藏 了 超 过 3 个 月 之 久 个 月 之 久 G i t p a s t e - 1 2 通 过 将 其 恶 意 P a y l o a d 托 管 在 类 似 G i t H u b 和 P a s t e b i n 这 样 的 开 源 网 站 上 ， 导 致 现 在 仅 仅 使 用 基 于 I o C 的 屏 蔽 方 法 是 无 法 屏 蔽 G i t p a s t e - 1 2 的 命 令 控 制 基 础 设 施 的 ， 因 为 这 些 网 站 还 涉 及 到 很 多 合 法 用 例 。 实 际 上 ， G i t p a s t e - 1 2 从 2 0 2 0 年 7 月 份 开 始 就 已 经 悄 悄 托 管 在 了 G i t H u b 上 了 。
直 到 2 0 2 0 年 的 1 0 月 1 5 日 ， J u n i p e r   T h r e a t 实 验 室 的 研 究 人 员 才 发 现 了 了 个 蠕 虫 僵 尸 网 络 ， 并 在 大 约 两 周 后 让 G i t H u b 将 它 彻 底 下 架 。 J u n i p e r   T h r e a t 实 验 室 的 研 究 人 员 A l e x   B u r t 和 T r e v o r   P o t t 表 示 ： “ 这 款 恶 意 软 件 之 所 以 使 用 G i t H u b 这 样 的 开 源 网 站 来 作 为 其 基 础 准 备 环 境 ， 是 因 为 攻 击 者 想 要 绕 过 常 见 的 网 络 安 全 防 御 系 统 ， 包 括 防 火 墙 规 则 在 内 。 因 为 常 见 的 攻 击 防 御 和 网 络 监 控 系 统 是 不 会 屏 蔽 来 自 合 法 站 点 的 流 量 的 。 ” 蠕 虫 可 以 给 攻 击 者 提 供 反 向 S h e l l ， 根 据 研 究 人 员 的 发 现 ， G i t p a s t e - 1 2 还 会 在 某 些 受 感 染 的 系 统 上 使 用 T C P 端 口 3 0 0 0 4 和 3 0 0 0 5 来 监 听 S h e l l 命 令 。 值 得 一 提 的 是 ， G i t p a s t e - 1 2 还 会 在 受 感 染 主 机 上 安 装 一 个 门 罗 币 挖 矿 工 具 ， 并 且 使 用 了 额 外 代 码 来 将 其 隐 藏 起 来 ， 也 就 是 不 在 进 程 管 理 器 中 显 示 挖 矿 进 程 。 除 了 挖 矿 工 具 之 外 ， 它 还 可 以 使 用 一 个 基 于 T e l n e t 的 脚 本 并 通 过 暴 力 破 解 的 方 式 攻 击 L i n u x 服 务 器 和 I o T 设 备 ， 然 后 通 过 这 些 方 法 来 实 现 蠕 虫 的 持 久 性 感 染 。
J u n i p e r 的 研 究 人 员 表 示 ， G i t p a s t e - 1 2 恶 意 软 件 还 包 含 了 一 个 能 够 针 对 网 络 内 其 他 设 备 发 动 攻 击 的 脚 本 ， 而 且 还 会 尝 试 进 行 自 我 复 制 和 横 向 传 播 。 它 会 选 择 一 个 随 机 的 / 8   C I D R 地 址 ， 然 后 尝 试 攻 击 该 地 址 范 围 内 的 所 有 地 址 。 G i t p a s t e - 1 2 还 会 继 续 进 化 还 会 继 续 进 化 从 功 能 性 和 躲 避 安 全 检 测 方 面 ， G i t p a s t e - 1 2 这 个 蠕 虫 僵 尸 网 络 确 实 是 “ 八 面 玲 珑 ” 。 而 且 G i t p a s t e - 1 2 之 所 以 特 别 危 险 ， 是 因 为 它 利 用 的 是 社 区 对 G i t H u b 这 种 网 站 的 信 任 。 在 我 们 最 近 的 软 件 供 应 链 状 态 报 告 中 ， 我 们 记 录 了 O S S 项 目 中 恶 意 代 码 注 入 或 下 一 代 软 件 供 应 链 攻 击 活 动 增 加 了 4 3 0 % ， 而 这 已 经 是 我 们 第 二 次 看 到 这 种 形 式 的 攻 击 了 。 J u n i p e r 的 研 究 人 员 明 确 表 示 ， 尽 管 这 款 恶 意 软 件 目 前 可 能 针 对 L i n u x 服 务 器 和 物 联 网 设 备 进 行 攻 击 ， 但 恶 意 软 件 样 本 中 的 测 试 代 码 表 明 它 有 可 能 在 将 来 版 本 中 引 入 更 加 多 的 攻 击 模 块 ， 这 也 表 明 G i t p a s t e - 1 2 目 前 仍 在 开 发 过 程 中 。 G i t p a s t e - 1 2 攻 击 将 会 感 染 开 发 人 员 所 使 用 的 开 发 工 具 ， 而 这 些 工 具 将 用 于 各 类 项 目 的 开 发 ， 这 将 导 致 后 续 的 项 目 受 到 感 染 ， 从 而 实 现 漏 洞 的 传 播 。 在 这 个 开 源 的 年 代 ， 这 无 疑 是 一 个 正 在 发 展 的 新 型 攻 击 向 量 。 我 们 可 以 看 到 ， G i t p a s t e - 1 2 利 用 的 是 一 个 原 本 值 得 我 们 信 赖 的 开 源 生 态 系 统 ， 再 加 上 它 躲 避 安 全 检 测 的 巧 妙 特 性 ， 下 一 个 版 本 的 G i t p a s t e - 1 2 会 先 进 成 什 么 样 子 ， 我 们 无 法 得 知 。 但 是 G i t p a s t e - 1 2 的 出 现 ， 表 明 了 通 过 自 动 化 定 期 审 查 软 件 供 应 链 的 重 要 性 。 入 侵 威 胁 指 标 入 侵 威 胁 指 标 I o C J u n i p e r   T h r e a t 实 验 室 给 出 的 G i t p a s t e - 1 2 入 侵 威 胁 指 标 I o C 如 下 。 U R L 地 址 ： 地 址 ： 哈 希 ： 哈 希 ： 门 罗 币 挖 矿 程 序 门 罗 币 挖 矿 程 序 e 6 7 f 7 8 c 4 7 9 8 5 7 e d 8 c 5 6 2 e 5 7 6 d c c 9 a 8 4 7 1 c 5 f 1 a b 4 c 0 0 b b 5 5 7 b 1 b 9 c 2 d 9 2 8 4 b 8 a f 9 h i d e . s o e d 4 8 6 8 b a 4 4 5 4 6 9 a b f a 3 c f c 6 c 7 0 e 8 f d d 3 6 a 4 3 4 5 c 2 1 a 3 f 4 5 1 c 7 b 6 5 d 6 0 4 1 f b 8 4 9 2 b 挖 矿 工 具 配 置 文 件 b d 5 e 9 f d 8 2 1 5 f 8 0 c a 4 9 c 1 4 2 3 8 3 b a 7 d b f 7 e 2 4 a a f 8 9 5 a e 2 5 a f 9 6 b d a b 8 9 c 0 b d c c 3 f 1 S h e l l   脚 本 5 d 1 7 0 5 f 0 2 c d e 1 2 c 2 7 b 8 5 a 0 1 0 4 c d 7 6 a 3 9 9 9 4 7 3 3 a 7 5 f a 6 e 1 e 5 b 0 1 4 5 6 5 a d 6 3 e 7 b 精 彩 推 荐 精 彩 推 荐 h t t p s : / / r a w . g i t h u b u s e r c o n t e n t [ . ] c o m / c n m n m s l - 0 0 1 / - / m a s t e r / s h a d u 1 h t t p s : / / r a w . g i t h u b u s e r c o n t e n t [ . ] c o m / c n m n m s l - 0 0 1 / h t t p s : / / p a s t e b i n [ . ] c o m / r a w / T g 5 F Q H h f h t t p s : / / g i t h u b [ . ] c o m / c n m n m s l - 0 0 1 / -
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理