Викиновости

Ботнет Gitpaste-12 вернулся с новым функционалом

16 декабря 2020 года

Червеобразный ботнет, распространяющийся через GitHub и Pastebin и устанавливающий на скомпрометированных системах криптовалютные майнеры и бэкдоры, вернулся с новыми функциями и возможностями. Теперь вредонос атакует web-приложения, IP-камеры и маршрутизаторы.

Ранее в этом месяце специалисты из Juniper Threat Labs задокументировали криптомайнинговую кампанию Gitpaste-12, использовавшую GitHub для хостинга вредоносного кода. Вредоносное ПО содержит 12 известных модулей, выполняющихся с помощью команд, загружаемых по URL с Pastebin. Атаки начались 15 октября и продолжались в течение 12 дней, пока репозиторий на GitHub и URL Pastebin не были заблокированы.

Согласно новому отчету (Архивная копия от 15 декабря 2020 на Wayback Machine) Juniper Threat Labs, вторая волна атак началась 10 ноября. Киберпреступники стали использовать другой репозиторий GitHub, помимо прочего, содержащий криптомайнер для Linux («ls»), файл со списком паролей для брутфорс-атак («pass») и эксплоита для локального повышения привилегий для Linux x86_64.

Первоначальное заражение происходит через X10-unix, двоичный файл на языке программирования Go, который загружает с GitHub полезную нагрузку для следующего этапа атаки.

«Червь проводит широкую серию атак, нацеленных на web-приложения, IP-камер, маршрутизаторов и др., содержащих как минимум 31 известную уязвимость, семь из которых также использовались предыдущим образцом Gitpaste-12, а также пытающихся взломать открытые подключения Android Debug Bridge», - сообщил исследователь Juniper Threat Labs Эшер Лэнгтон (Asher Langton).

В число эксплуатируемых ботнетом уязвимостей входят: уязвимости удаленного кода в F5 BIG-IP Traffic Management User Interface ( CVE-2020-5902 ), Pi-hole Web (CVE-2020-8816), Tenda AC15 AC1900 ( CVE-2020-10987 ) и vBulletin (CVE-2020-17496), а также уязвимость SQL-инъекции в FUEL CMS (CVE-2020-17463).

Помимо установки X10-unix и ПО для майнинга Monero, вредонос также открывает бэкдор, прослушивая порты 30004 и 30006, загружает внешний IP-адрес жертвы в закрытую учетную запись Pastebin и пытается подключиться к соединениям Android Debug Bridge через порт 5555. При успешном подключении Gitpaste-12 переходит к загрузке файла APK Android («weixin.apk»), который в конечном итоге устанавливает версию X10-unix для процессора ARM.

По оценкам Juniper, в общей сложности было обнаружено не менее 100 различных хостов, распространяющих инфекцию.

Источники

править
Эта статья содержит материалы из статьи «Ботнет Gitpaste-12 вернулся с новым функционалом», опубликованной на сайте SecurityLab.ru и распространяющейся на условиях лицензии Creative Commons Attribution 3.0 Unported (CC-BY 3.0 Unported).
 
Creative Commons
 
Эта статья загружена автоматически ботом NewsBots и ещё не проверялась редакторами Викиновостей.
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.

Комментарии

Викиновости и Wikimedia Foundation не несут ответственности за любые материалы и точки зрения, находящиеся на странице и в разделе комментариев.



Источник — https://ru.wikinews.org/w/index.php?title=Ботнет_Gitpaste-12_вернулся_с_новым_функционалом&oldid=15399942