智云盾捕获多个僵尸网络利用最新 ConfluenceRCE 漏洞的活动

关注

发布于: 刚刚

一、背景

8 月 25 日，Atlassian 官方发布公告，公布了一个最新的远程代码执行漏洞，多个版本 Confluence 服务存在漏洞。9 月 7 日，智云盾威胁中心检测到 BillGates、Muhstik 僵尸网络利用该漏洞的多个攻击活动。智云盾威胁中心建议 Confluence 用户尽快采取安全措施避免被利用攻击。

漏洞时间线：

图 1 漏洞时间线

8 月 25 日，Atlassian 官方发布安全公告，披露了 Confluence 远程代码执行漏洞（CVE-2021-26084）,攻击者利用漏洞可以远程任意代码执行；
8 月 25 日，智云盾开始监控僵尸网络的威胁 IP：79.172.212.132；
9 月 1 日，首个漏洞 POC 在 Github 公开；
9 月 7 日，智云盾威胁中心发现威胁 IP：79.172.212.132 对观测节点发起漏洞扫描；
9 月 7 日，智云盾监测到 Muhstik 僵尸网络利用该漏洞的攻击；
9 月 14 日，智云盾监测到僵尸网络 BillGates 使用该漏洞进行僵尸网络恶意文件投递；
9 月 16 日，智云盾监测到僵尸网络 BillGates 使用该漏洞对某公司官网进行 DDoS 攻击；

二、漏洞利用流程

图 2 漏洞利用流程图

三、样本分析

智云盾威胁检测中心主要捕获到的是 BillGates 和 Muhstik 僵尸网络利用 CVE-2021-26084 漏洞的攻击，我们对两个僵尸网络的样本做了详细分析，下面是对 Muhstik 的分析过程：

1、9 月 7 日，智云盾在多个节点都捕获到了 Muhstik 僵尸网络的 payload，Muhstik 通过漏洞分发恶意样本，会从两个恶意样本服务器 149.28.85.17、194.31.52.174 上下载 conf2 脚本，下面是 payload 详情：

图 3 利用 ConfluenceRE 漏洞的 payload

2、Muhstik 僵尸网络样本在被攻击服务器上执行 conf2 脚本，下载二进制文件 dk86 和两个脚本文件（m8、ldm），随后的分析中我们发现 dk86 文件中包含多个僵尸网络功能，m8 和 ldm 脚本均为该僵尸网络的横向感染脚本。下面是从 conf2 脚本文件中下载文件的 shell 脚本

图 4 conf2 脚本内的下载指令

3、我们下载了 dk86 程序，经过逆向分析后，发现它的通过连接到 C2 来接收指令，从而实现以下几个功能：下载文件、端口扫描、暴力破解和 DDoS、CC 攻击，下图展示了 dk86 程序中的函数：

图 5 dk86 程序中的函数

4、我们下载 ldm 和 m8 脚本，进行详细分析，分析发现这是 Muhstik 僵尸网络的横向传播脚本，下面展示了横向传播的详细过程，主要包括以下四个步骤：

A 启用 root 权限，并修改 rm、curl、wget 等命令的名称

图 6 修改系统命令

B 写入主控端的 ssh 公钥，修改 ssh 配置，并杀死其他挖矿程序，释放系统资源

图 7 修改 ssh 配置并杀死挖矿程序

C 遍历主机上的用户，通过查看系统各文件来枚举 ssh 密钥

图 8 查询可远程登录的 ssh 用户

D 通过 ssh 远程命令从 ip：34.221.40.237 上执行下载名称包含 pty 的 Muhstik 僵尸网络的主程序和横向感染程序 ldm，该 pty 程序确定为二进制文件 IRC bot，支持多平台包括 ARM、MIPS、x64 和 x86。主要功能包括发起 DDoS 攻击，以及暴力破解和端口扫描等功能。