僵尸网络Androxgh0st联合Mozi，针对广泛IoT设备漏洞

E安全消息，研究人员发现Androxgh0st僵尸网络已经与Mozi僵尸网络集成，利用Web应用程序和物联网(IoT)设备的漏洞。

CloudSEK公司的AI数字风险平台研究人员揭露了Androxgh0st僵尸网络的新发展。这个恶意网络最初自2024年1月起针对Web服务器，经过转型后重新出现。

该僵尸网络现在与臭名昭著的Mozi僵尸网络共享组件，后者历史上以感染物联网(IoT)设备而闻名。

Androxgh0st可能已经将Mozi的有效载荷作为模块集成到其僵尸网络架构中，利用其物联网感染和传播机制。这种扩展使Androxgh0st感染更多的IoT设备，而无需单独的感染程序。

此外，研究人员注意到Androxgh0st的攻击方法有所扩展。僵尸网络现在针对的漏洞不仅限于Web服务器，还包括：

• 思科ASA：利用跨站脚本（XSS）漏洞注入恶意脚本。

• Atlassian JIRA：利用路径遍历漏洞（CVE-2021-26086）访问敏感文件。

• PHP框架：针对Laravel（CVE-2018-15133）和PHPUnit（CVE-2017-9841）的漏洞以获得后门访问权限。

• 新漏洞：僵尸网络通过利用最近发现的漏洞如CVE-2023-1389（TP-Link）和CVE-2024-36401（GeoServer）的适应能力，展示了其不断演变的能力。

• Metabase：本地文件包含漏洞，可能导致信息泄露和潜在的远程代码执行。

• Apache Web服务器：僵尸网络还利用影响Apache版本2.4.49和2.4.50的CVE-2021-41773来运行任意代码，并可能获取敏感数据或凭据。

• IoT设备：通过集成Mozi僵尸网络的能力，Androxgh0st现在可以针对更广泛的IoT设备，包括路由器、安全摄像头和其他网络连接设备。

僵尸网络还针对Metabase、Sophos防火墙、Oracle E-Business Suite、OptiLink ONT1GEW GPON、PHP CGI、TP-Link Archer AX21、WordPress插件Background Image Cropper、Netgear DGN设备和GPON家庭路由器的漏洞。

这些漏洞都容易受到远程代码执行、信息泄露和利用的影响。

研究人员指出：“Androxgh0st积极部署暴力破解凭证填充、命令注入、文件包含和恶意软件传播。通过利用Mozi的IoT能力，Androxgh0st现在可以利用配置错误的路由器和设备，感染亚洲、欧洲及其他地方的设备。”

针对GPON路由器的Mozi僵尸网络

（来源CloudSEK）

以下是Androxgh0st僵尸网络的目标国家/地区的完整列表。此列表根据Androxgh0st针对的设备数量对国家/地区进行排名。排名靠前的德国感染设备最多，而排名垫底的新加坡感染设备最少：

• 德国

• 土耳其

• 美国

• 印度

• 香港特别行政区

• 罗马尼亚

• 葡萄牙

• 波兰

• 立陶宛

• 斯洛文尼亚

• 奥地利

• 大不列颠及北爱尔兰联合王国

• 韩国

• 泰国

• 加拿大

• 西班牙

• 卡塔尔

• 新加坡

E安全了解，Mozi僵尸网络主要针对Netgear、Dasan、D-Link路由器和 MVPower DVR Jaws服务器，在中国、印度和阿尔巴尼亚运行。

2021年，中国执法部门逮捕了其创建者，迫使他们合作并分发了一个更新程序，该更新程序在2023年有效地终止了僵尸网络与外界的连接能力。

Androxgh0st和Mozi之间的共享命令基础设施表明了高水平的操作集成，可能由同一网络犯罪集团控制。这种集成将影响全球的Web应用程序和IoT设备。

组织应立即修补Androxgh0st利用的漏洞，监控网络流量中的可疑连接和登录尝试，并分析HTTP和Web服务器日志以查找泄露迹象。

美国联合声明，警告俄罗斯和伊朗在最后时刻干预选举

2024.11.7

尼日利亚男子被判处26年，涉房地产网络钓鱼诈骗数百万美元

2024.11.6

针对中国用户，黑客利用Winos4.0框架通过虚假游戏程序进行攻击

2024.11.8

注：本文由E安全编译报道，转载请联系授权并注明来源。