搜索

[10025] 2016-04-20_JBoss应用平台后门导致约320万服务器面临威胁

文档创建者：s7ckTeam
浏览次数：42
最后更新：2025-01-18
2016-04-20_JBoss应用平台后门导致约320万服务器面临威胁 J B o s s   应 用 平 台 后 门 导 致 约 3 2 0 万 服 务 器 面 临 威 胁 t r o y   F r e e B u f   2 0 1 6 - 0 4 - 2 0 事 件 的 起 因 在 于 近 期 勒 索 软 件 事 件 大 量 扩 散 引 起 了 思 科 安 全 研 究 人 员 的 注 意 ， 后 经 其 安 全 研 究 人 员 调 查 分 析 发 现 ， 事 件 的 起 因 在 于 近 期 勒 索 软 件 事 件 大 量 扩 散 引 起 了 思 科 安 全 研 究 人 员 的 注 意 ， 后 经 其 安 全 研 究 人 员 调 查 分 析 发 现 ， 其 中 大 量 案 例 皆 因 攻 击 者 利 用 其 中 大 量 案 例 皆 因 攻 击 者 利 用 J B o s s   J a v a 应 用 平 台 存 在 的 漏 洞 ， 入 侵 企 业 服 务 器 ， 并 将 勒 索 软 件 散 播 至 所 有 与 服 务 应 用 平 台 存 在 的 漏 洞 ， 入 侵 企 业 服 务 器 ， 并 将 勒 索 软 件 散 播 至 所 有 与 服 务 器 连 接 的 客 户 端 上 。 器 连 接 的 客 户 端 上 。 S a m S a m 勒 索 软 件 （ 也 被 称 为 S a m a s ） ， 该 勒 索 软 件 于 今 年 3 月 中 旬 被 微 软 公 司 所 发 现 。 而 在 发 现 之 时 ， F B I 也 对 所 有 企 业 发 出 告 警 ， 关 于 该 勒 索 软 件 可 利 用 J B o s s 上 的 漏 洞 对 企 业 的 I T 基 础 设 备 进 行 感 染 ， 提 醒 企 业 用 户 注 意 检 测 及 防 护 。 随 后 ， 英 特 尔 和 思 科 ， 也 双 双 发 布 报 告 和 技 术 分 析 ， 剖 析 该 勒 索 软 件 作 者 的 实 现 思 路 ， 而 这 显 然 证 实 了 微 软 公 司 和 F B I 此 前 发 现 的 可 靠 性 。 据 分 析 ， S a m S a m 勒 索 软 件 的 操 纵 者 正 是 利 用 公 共 机 构 和 私 营 机 构 中 ， 运 行 在 服 务 器 上 的 旧 版 本 J B o s s 平 台 的 漏 洞 来 实 现 入 侵 的 。 深 入 调 查 分 析 ， 发 现 更 多 被 感 染 的 服 务 器 深 入 调 查 分 析 ， 发 现 更 多 被 感 染 的 服 务 器 在 经 过 上 述 初 步 调 查 后 ， 思 科 对 J B o s s 平 台 漏 洞 的 存 在 率 进 行 了 深 入 研 究 调 查 。 而 从 思 科 的 研 究 表 明 ， 目 前 大 约 有 3 2 0 万 W e b 服 务 器 运 行 的 是 未 更 新 的 J B o s s 版 本 。 利 用 获 取 到 的 部 分 利 用 后 门 后 留 下 的 文 件 ， 思 科 也 可 以 扫 描 出 这 3 2 0 万 台 服 务 器 是 否 存 在 后 门 。 基 于 本 次 搜 索 ， 确 认 了 2 1 0 0 台 已 经 被 入 侵 的 服 务 器 ， 这 些 服 务 器 运 行 在 1 6 0 0 个 不 同 的 I P 上 。 一 般 来 说 ， 如 果 在 没 发 现 的 情 况 下 ， 这 些 服 务 器 就 只 能 等 待 勒 索 者 传 递 勒 索 软 件 p a y l o a d ， 对 其 实 施 感 染 了 。 从 被 入 侵 的 服 务 器 的 情 况 来 看 ， 这 些 服 务 器 大 部 分 属 于 学 校 、 政 府 、 航 空 公 司 等 行 业 单 位 的 。 其 他 后 门 也 陆 续 被 发 现 其 他 后 门 也 陆 续 被 发 现 除 了 文 件 被 先 前 的 S a m S a m 勒 索 软 件 所 感 染 时 利 用 的 后 门 ， 研 究 人 员 称 他 们 还 发 现 了 其 他 “ 知 名 ” 的 后 门 程 序 ， 如 " m e l a , " " s h e l l i n v o k e r , "   " j b o s s i n v o k e r , "   " z e c m d , "   " c m d , "   " g e n e s i s , "   " s h 3 l l "   a n d   p o s s i b l y   " I n o v k e r m n g r t "   以 及 “ j b o t ” 等 。 以 下 为 部 分 可 疑 后 门 文 件 列 表 ， 可 供 研 究 参 考 。 j b o s s a s s . j s p j b o s s a s s _ j s p . c l a s s s h e l l i n v o k e r . j s p s h e l l i n v o k e r _ j s p . c l a s s m e l a . j s p m e l a _ j s p . c l a s s z e c m d . j s p z e c m d _ j s p . c l a s s c m d . j s p c m d _ j s p . c l a s s w s t a t s . j s p w s t a t s _ j s p . c l a s s i d s s v c . j s p i d s s v c _ j s p . c l a s s
i e s v c . j s p i e s v c _ j s p . c l a s s 这 些 后 门 的 存 在 表 明 ，   S a m S a m 勒 索 软 件 背 后 的 操 纵 者 并 不 是 唯 一 知 道 并 利 用 J B o s s 平 台 漏 洞 的 攻 击 者 。 在 发 现 这 些 威 胁 后 ， 思 科 开 始 通 知 受 影 响 的 各 方 。 而 在 众 多 的 感 染 案 例 中 ， 部 分 受 影 响 的 归 属 于 学 校 的 服 务 器 上 部 署 了 由 一 家 名 为 F e l l o t 公 司 开 发 的 图 书 馆 管 理 系 统 。 用 以 对 图 书 馆 的 资 产 进 行 管 理 ， 而 其 中 J B o s s 作 为 应 用 平 台 进 行 支 撑 。 在 此 次 调 查 分 析 的 过 程 中 ， 思 科 得 到 了 F e l l o t 公 司 的 大 力 支 持 ， 并 与 之 一 起 完 善 解 决 方 案 。 据 称 ， F e l l o t 运 行 着 一 个 最 令 人 印 象 深 刻 的 修 复 系 统 ， 能 够 修 复 他 们 从 版 本 9 到 版 本 1 3 . 5 的 所 有 系 统 版 本 ， 为 他 们 的 用 户 进 行 升 级 ， 避 免 J B o s s 漏 洞 被 利 用 ， 甚 至 在 用 户 的 服 务 器 上 扫 描 跟 “ D e s t i n y ” 系 统 无 关 联 的 文 件 ， 有 效 发 现 并 清 除 用 户 服 务 器 环 境 的 可 疑 后 门 。 后 门 检 测 及 利 用 工 具 后 门 检 测 及 利 用 工 具 为 了 对 系 统 文 件 进 行 检 测 ， 审 查 是 否 存 在 后 门 。 思 科 通 过 一 款 名 为 J e x B o s s 的 开 源 渗 透 测 试 工 具 对 后 门 的 代 码 进 行 跟 踪 。 而 后 ， 随 着 他 们 的 发 现 ， 美 国 计 算 机 安 全 应 急 响 应 中 心 U S - C E R T 发 出 了 一 项 全 球 咨 询 建 议 ， 建 议 所 有 的 应 用 系 统 管 理 员 及 时 检 查 自 身 应 用 服 务 器 ， 查 看 是 否 存 在   w e b s h e l l 。 工 具 下 载 地 址 请 点 击 最 下 方 阅 读 原 文 。 ＊ 参 考 来 源 ： s o f t p e d i a ， s e c u r i t y a f f a i r s ， t a l o s i n t e l ， F B 小 编 t r o y 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理