Sysrv僵尸網(wǎng)絡(luò)背后的網(wǎng)絡(luò)犯罪分子正在利用Spring Framework和WordPress插件中未修補(bǔ)的漏洞來(lái)瞄準(zhǔn)Linux和Windows系統(tǒng)。據(jù)研究人員稱，網(wǎng)絡(luò)威脅者的目標(biāo)是用加密惡意軟件來(lái)感染系統(tǒng)。

微軟安全情報(bào)研究人員稱該僵尸網(wǎng)絡(luò)的變體為Sysrv-K，他們?cè)谕铺厣习l(fā)布了一個(gè)帖子，揭示了僵尸網(wǎng)絡(luò)變體的詳細(xì)信息。

研究人員表示，Sysrv-K背后的犯罪分子已經(jīng)通過(guò)編程他們的機(jī)器人軍隊(duì)掃描了WordPress插件中的缺陷以及Spring Cloud

Gateway(CVE-2022-22947)中最近的遠(yuǎn)程代碼執(zhí)行(RCE)缺陷。

微軟安全情報(bào)部門也發(fā)現(xiàn)了該僵尸網(wǎng)絡(luò)變體，他們?cè)谕铺厣媳硎荆哼@些漏洞都已通過(guò)安全更新解決，包括WordPress插件中的舊漏洞，以及CVE-2022-22947等較新的漏洞。一旦在設(shè)備上運(yùn)行，Sysrv-K就會(huì)部署加密貨幣礦工。

我們遇到了Sysrv僵尸網(wǎng)絡(luò)的新變體，其通過(guò)利用Web應(yīng)用程序和數(shù)據(jù)庫(kù)中的漏洞在Windows和Linux系統(tǒng)上安裝硬幣礦工而聞名。該新變體，我們稱之為Sysrv-K，具有額外的漏洞，可以控制Web服務(wù)器。

—微軟安全情報(bào)(@MsftSecIntel)2022年5月13日

Spring Cloud是一個(gè)開(kāi)源庫(kù)，可以簡(jiǎn)化為云開(kāi)發(fā)JVM應(yīng)用程序的過(guò)程，Spring Cloud

Gateway為Spring和Java構(gòu)建API網(wǎng)關(guān)提供了一個(gè)庫(kù)。而CVE-2022-22947是Spring Cloud

Gateway庫(kù)中的存在漏洞的代碼。通過(guò)該漏洞攻擊者可以在未修補(bǔ)的主機(jī)上執(zhí)行遠(yuǎn)程代碼執(zhí)行(RCE)。這一缺陷影響了VMware和Oracle產(chǎn)品，并被兩家供應(yīng)商標(biāo)記為關(guān)鍵。

Sysrv-K的工作

微軟安全情報(bào)團(tuán)隊(duì)警告說(shuō)，Sysrv-K可以通過(guò)掃描互聯(lián)網(wǎng)以安裝各種漏洞來(lái)控制網(wǎng)絡(luò)服務(wù)器。漏洞范圍從RCE到任意文件下載，路徑遍歷到遠(yuǎn)程文件披露。

Lacework Labs和Juniper Threat

Labs的安全研究人員觀察到了惡意軟件的兩個(gè)主要組成部分，即在2021年3月活動(dòng)激增后，通過(guò)掃描互聯(lián)網(wǎng)上尋找易受攻擊的系統(tǒng)和安裝XMRig加密貨幣礦工(用于挖掘Monero)來(lái)傳播到網(wǎng)絡(luò)。

Sysrv-K的新功能是掃描WordPress配置文件及其備份，以竊取憑據(jù)并訪問(wèn)Web服務(wù)器。除此之外，“Sysvr-K還更新了通信功能，包括使用電報(bào)機(jī)器人的能力”。

“與較舊的變體一樣，Sysrv-K掃描SSH密鑰、IP地址和主機(jī)名，然后嘗試通過(guò)SSH連接到網(wǎng)絡(luò)中的其他系統(tǒng)以部署自己的副本。微軟安全情報(bào)團(tuán)隊(duì)報(bào)告稱，這可能會(huì)使網(wǎng)絡(luò)的其余部分面臨成為Sysrv-K僵尸網(wǎng)絡(luò)的一部分的風(fēng)險(xiǎn)。”

微軟建議各組織保護(hù)面向互聯(lián)網(wǎng)的Linux或Windows系統(tǒng)，及時(shí)應(yīng)用安全更新，并保護(hù)憑據(jù)。他們補(bǔ)充說(shuō)：“Microsoft Defender for

Endpoint檢測(cè)Sysrv-K和較舊的Sysrv變體，以及相關(guān)行為和有效負(fù)載?！?/p>

微軟在2022年1月面臨關(guān)鍵的RCE、蠕蟲(chóng)和6個(gè)零日，包括(CVE-2022-22947)。

本文翻譯自：https://threatpost.com/sysrv-k-botnet-targets-windows-linux/179646/如若轉(zhuǎn)載，請(qǐng)注明原文地址。