【安全资讯】攻击者利用Hadoop Yarn REST API未授权漏洞攻击云主机,安装多种木马,并通过SSH爆破扩散传播

匿名用户 2021-01-29 06:55:14 790人浏览

研究人员检测到有攻击者使用Hadoop Yarn REST API未授权命令执行漏洞攻击云上主机,攻击成功后执行恶意命令,向系统植入挖矿木马、IRC BotNet后门、DDoS攻击木马,入侵成功后还会使用SSH爆破的方式进一步向目标网络横向扩散。


攻击者入侵成功后,会清理系统进程和文件,以清除其他资源占用较高的进程(可能是可疑挖矿木马,也可能是正常服务),以便最大化利用系统资源。入侵者同时会配置免密登录后门,以方便进行远程控制,入侵者安装的IRC后门、DDoS木马具备完整的目标扫描、下载恶意软件、执行任意命令和对特定目标进行网络攻击的能力。


通过对木马家族进行关联分析,发现本次攻击活动与永恒之蓝下载器木马关联度极高,攻击者使用的攻击套件与Outlaw僵尸网络木马高度一致,但尚不能肯定攻击活动由这两个团伙发起。

从攻击方式和基础设施来看,更像是永恒之蓝家族投递,样本payload都使用netcatkit.com,sqlnetcat.com下的子域名进行托管,同时最终的包名,挖矿模块名有一致性。下图为最近捕获的永恒之蓝下载器木马使用Hadoop Yarn REST API未授权命令执行攻击入侵,其payload托管地址为t.netcatkit.com/ln.core。



永恒之蓝payload其内当前注释掉的代码部分,下载链接包解压后执行initall:down.sqlnetcat.com/dota3.tar.gz(当前下载链接失效),dota3.tar.gz同样解压出名为的.rsync攻击套件。



结论:
因本次攻击具有蠕虫式的扩散传播能力,可下载安装后门、执行任意命令,发起DDoS攻击,对受害单位网络信息系统安全构成严重影响。建议用户尽快修复Hadoop Yarn REST API未授权命令执行漏洞,避免采用弱口令,采用安全厂商的技术方案检测系统,清除威胁。

失陷指标(IOC)18
挖矿 命令执行 拒绝服务攻击 蠕虫 物联网IOT 其他
    0条评论
    0
    0
    分享
    安全星图平台专注于威胁情报的收集、处理、分析、应用,定期提供高质量的威胁情报。