XDA智能手机网 - 第一智能手机评述媒体
科技您的位置:首页 >科技 >

漏洞暴露了数千个恶意软件C&C服务器的位置

发布时间:2019-03-01 18:05:03 来源:

网络犯罪团伙使用的工具中的漏洞现在正在帮助研究人员揭露数千个恶意软件命令和控制(C&C)服务器的位置。

这个漏洞 - 自今年年初开始修补 - 影响了Cobalt Strike,这是安全研究人员用来模拟网络攻击的合法渗透测试工具。

Cobalt Strike已经存在了十多年,但在过去的五年中,它已经被网络犯罪集团慢慢采用。

恶意软件团伙和民族国家的网络间谍团体使用Cobalt Strike,因为它简单而高效的客户端 - 服务器架构。

网络罪犯使用Cobalt Strike来托管他们的C&C服务器,然后通过他们在受感染主机上播放的Cobalt“beacons”在公司网络上部署恶意软件。

在过去几年中,Cobalt Strike慢慢成为许多威胁参与者的首选工具包,例如FIN6和FIN7(Carbanak)网络犯罪团伙,以及APT29等民族国家黑客(Cozy Bear)。

但是,所有这些黑客组织都不知道Fox-IT研究人员在Cobalt Strike服务器组件中发现了一个错误。基于Java的Web服务器NanoHTTPD构建,骗子并不知道它包含一个允许Fox-IT自2015年以来跟踪它们的错误。这个额外的空白允许Fox-IT多年来检测信标与其C&C服务器之间的Cobalt Strike通信,直到2019年1月2日,当Cobalt Strike开发人员修补了这个bug并删除了版本3.13中的额外空间。

“在2015-01和2019-02期间,Fox-IT总共观察到7718个独特的Cobalt Strike团队服务器或NanoHTTPD主机,”该公司本周在一篇博文中表示。

由于问题现已修补,Fox-IT研究人员发布了这个小技巧,以及曾经或仍在托管Cobalt Strike C&C服务器的历史IP地址列表。

该公司希望安全团队使用此列表检查其网络日志中的这些IP地址,并识别过去或当前的安全漏洞。

其中一些IP地址可能属于安全公司为测试目的而托管的合法Cobalt Strike实例,但Fox-IT认为其中许多也来自黑客组织。

他们表示粗略检查了他们的7,700多个IP地址列表,发现恶意软件C&C服务器与中国的APT10政府黑客部门,Bokbot银行木马以及由Cobalt Group(也称为FIN7或Carbanak)的残余管理的服务器相关联。

运行ZoomEye IoT搜索引擎的中国网络安全公司KnownSec 404 Team通过识别目前仍在运营的3,643台基于Cobalt Strike NanoHTTPD的服务器证实了Fox-IT的发现- 其中86%也是Fox-IT的服务器该公司表示。

Fox-IT表示,随着服务器的修补,当前对额外空白的扫描越来越少,结果越来越少。

然而,该公司表示,大多数威胁演员倾向于使用盗版,破解和未注册版本的Cobalt Strike软件,因此将在未来很长一段时间内保持未修补状态。

由于合法拥有的服务器将获得Cobalt Strike补丁,因此在未来扫描期间出现的大多数服务器很可能是恶意软件操作的一部分。

热点推荐
随机文章