RedTail 僵尸网络积极利用新漏洞发起攻击

自从Palo Alto PAN-OS 漏洞被披露以来，研究人员发现攻击者正在将这一缺陷融入到他们的武器中。

CVE-2024-3400

2024 年4 月11 日，帕洛阿尔托宣布，基于PAN-OS 的产品中的一个零日漏洞被攻击者利用，安全公司Volexity 发现了该攻击。

该漏洞允许攻击者创建任意文件并以root 用户权限执行命令。具体来说，SESSID cookie 设置为特定值，PAN-OS 使用该值创建文件。因此，结合路径遍历技术，攻击者可以控制文件名和文件存储的目录。

Cookie: SESSID=/./././var/appweb/sslv-pndocs/global-protect/portal/images/poc.txt

此漏洞存在于某些版本的PAN-OS 的GlobalProtect 功能中。 Cloud NGFW、Panorama 设备和Prisma Access 不受此漏洞影响。

观察到的攻击

漏洞被披露后，通常会尝试许多非恶意攻击。特别是当存在公共POC 时，由于许多研究人员自己进行测试，攻击活动显着增加。根据研究人员的分析，大多数利用此漏洞的攻击都会尝试写入虚拟文件，但最近尝试通过各种IP 地址下载并运行bash 脚本的攻击有所增加。

典型的攻击

检查bash 脚本表明，攻击者识别了受害者的处理器架构并下载了相应的二进制文件。这种行为在构建专注于DDoS 和挖矿的僵尸网络中非常常见。

恶意bash 脚本

该恶意软件名为.redtail，与CSA 今年早些时候发布的恶意软件相同。 CSA 于2023 年12 月发现了该僵尸网络，并使用恶意软件的文件名将其命名为RedTail。业界还发现恶意软件通过Log4j的漏洞进行传播，然后挖掘门罗币。

挖掘加密货币

下载的恶意软件与CSA 发布的恶意软件类似，是包含UPX 的XMRig 挖矿程序的变种。

采矿计划

然而，与典型的僵尸网络不同的是，RedTail 将XMRig 代码嵌入到自己的恶意软件代码中，而不是通过网络请求检索挖矿程序配置信息。

攻击者修改了挖矿程序代码并对配置文件进行了加密。配置文件仅在XMRig 启动时解密。配置文件如下所示：

{

“自动保存”: 正确，

\’opencl\’: 假，

\’cuda\’: 假，

\’CPU\’: {

“启用”: 真，

\’huge-pages\’: 正确，

\’最大线程提示\’ : 95

},

\’随机x\’: {

\’模式\’: \’自动\’,

\’1gb-pages\’: 正确，

\’rdmsr\’: 假，

“wrmsr”: 正确

},

\’池\’: [

{

\’nicehash\’: 正确，

\’url\’:\’proxies.identitynetwork.top:2137\’

},

{

\’nicehash\’: 正确，

\’网址\’:\’193.222.96.163:2137\’

},

{

\’nicehash\’: 正确，

\’网址\’:\’185.216.70.138:2137\’

},

{

\’nicehash\’: 正确，

\’网址\’:\’78.153.140.51:2137\’

}

]

}

攻击者运营他们控制的矿池或矿池代理，并且不使用公共矿池。维护私人矿池或矿池代理会增加运营成本，但可以更轻松地控制采矿结果。

深入了解挖矿

攻击者尽可能优化了他们的挖矿操作，并使用了新的RandomX 算法。该算法可以利用NUMA节点来提高效率，当结合大规模页面配置变化时，可以提高性能1%到3%。

与2024 年初发布的RedTail 变种不同，该恶意软件使用更复杂的规避和持久性技术。它调试进程并阻止分析，终止检测到的GDB 进程，并通过cron 作业在系统重新启动后继续运行。

坚持

有针对性的攻击

纵观所有攻击，我们发现攻击者针对的是各种其他漏洞，包括2024 年初发布的Ivanti Connect Secure SSL-VPN CVE-2023-46805 和CVE-2024-21887。

CVE-2023-46805

CVE-2024-21887

何方神圣？

2024 年1 月，GreyNoise 观察到一个针对Ivanti SSL-VPN 漏洞的挖矿僵尸网络。但经过分析，分析人士确认该僵尸网络的攻击方式与GreyNoise披露的不同，且两个攻击者也不是同一个人。

其他漏洞

僵尸网络利用的其他漏洞包括：

TP-LINK CVE-2023-1389VMWare Workspace ONE 访问和身份管理器CVE-2022-22954ThinkPHP 文件包含和远程执行漏洞ThinkPHP 远程代码执行漏洞

CVE-2023-1389

ThinkPHP文件包含和远程执行漏洞

CVE-2018-20062

该恶意软件还包含许多不同的URL 嵌入字符串，这些字符串在运行时加密和解密存储。这些路径涵盖了PHPUnit 漏洞(CVE-2017-9841) 和各种CGI-Bin 远程代码执行漏洞，但这些漏洞均未被利用。

其他漏洞

漏洞利用趋势

跟踪数据表明，至少早在4 月21 日，攻击中就利用了PAN-OS 漏洞。

漏洞利用趋势

总结

RedTail 正在更新其在实现私人矿池隐形方面的进展，类似于Lazarus Group 的战略。 VulDB CTI 团队提到了一次针对PAN-OS 漏洞(CVE-2024-3400) 的实际攻击，该攻击可能与2024 年4 月13 日的Lazarus 活动有关。

IOC

92.118.39.120

193.222.96.163

79.110.62.25

34.127.194.11

192.18.157.251

68.170.165.36

94.74.75.19

193.222.96.163

94.156.79.60

94.156.79.129

185.216.70.138

78.153.140.51

代理.身份网络.顶部

参考来源

阿卡迈

#以上RedTail僵尸网络主动利用新漏洞发起攻击的相关内容来源仅供参考。相关信息请参见官方公告。