Контакты
Подписка 2024
Персональные данные
4 апреля. Персональные данные в 2024 году: регулирование, практика, тенденции
Регистрируйтесь на онлайн-конференцию!

Ботнет Gitpaste-12 вернулся с новым функционалом

17/12/20

GitHub-2Червеобразный ботнет, распространяющийся через GitHub и Pastebin и устанавливающий на скомпрометированных системах криптовалютные майнеры и бэкдоры, вернулся с новыми функциями и возможностями. Теперь вредонос атакует web-приложения, IP-камеры и маршрутизаторы.

Ранее в этом месяце специалисты из Juniper Threat Labs задокументировали криптомайнинговую кампанию Gitpaste-12, использовавшую GitHub для хостинга вредоносного кода. Вредоносное ПО содержит 12 известных модулей, выполняющихся с помощью команд, загружаемых по URL с Pastebin. Атаки начались 15 октября и продолжались в течение 12 дней, пока репозиторий на GitHub и URL Pastebin не были заблокированы.

Согласно новому отчету Juniper Threat Labs, вторая волна атак началась 10 ноября. Киберпреступники стали использовать другой репозиторий GitHub, помимо прочего, содержащий криптомайнер для Linux («ls»), файл со списком паролей для брутфорс-атак («pass») и эксплоита для локального повышения привилегий для Linux x86_64.

Первоначальное заражение происходит через X10-unix, двоичный файл на языке программирования Go, который загружает с GitHub полезную нагрузку для следующего этапа атаки.

«Червь проводит широкую серию атак, нацеленных на web-приложения, IP-камер, маршрутизаторов и др., содержащих как минимум 31 известную уязвимость, семь из которых также использовались предыдущим образцом Gitpaste-12, а также пытающихся взломать открытые подключения Android Debug Bridge», - сообщил исследователь Juniper Threat Labs Эшер Лэнгтон (Asher Langton).

В число эксплуатируемых ботнетом уязвимостей входят: уязвимости удаленного кода в F5 BIG-IP Traffic Management User Interface ( CVE-2020-5902 ), Pi-hole Web (CVE-2020-8816), Tenda AC15 AC1900 ( CVE-2020-10987 ) и vBulletin (CVE-2020-17496), а также уязвимость SQL-инъекции в FUEL CMS (CVE-2020-17463).

Помимо установки X10-unix и ПО для майнинга Monero, вредонос также открывает бэкдор, прослушивая порты 30004 и 30006, загружает внешний IP-адрес жертвы в закрытую учетную запись Pastebin и пытается подключиться к соединениям Android Debug Bridge через порт 5555. При успешном подключении Gitpaste-12 переходит к загрузке файла APK Android («weixin.apk»), который в конечном итоге устанавливает версию X10-unix для процессора ARM.

По оценкам Juniper, в общей сложности было обнаружено не менее 100 различных хостов, распространяющих инфекцию.

Темы:УгрозыGitHubботнет
NGFW
9 апреля. Отечественные NGFW: как защитить облачную инфраструктуру и настроить обнаружение кибератак
Участвуйте и представляйте решения!
Статьи по темеСтатьи по теме

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2024
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
SOAR, IRP, SOC
Спецпроекты журнала "Информационная безопасность"
Станьте автором издания!

Еще темы...

More...