Ботнет Gitpaste-12 вернулся с новым функционалом

Червеобразный ботнет, распространяющийся через GitHub и Pastebin и устанавливающий на скомпрометированных системах криптовалютные майнеры и бэкдоры, вернулся с новыми функциями и возможностями. Теперь вредонос атакует web-приложения, IP-камеры и маршрутизаторы.

Ранее в этом месяце специалисты из Juniper Threat Labs задокументировали криптомайнинговую кампанию Gitpaste-12, использовавшую GitHub для хостинга вредоносного кода. Вредоносное ПО содержит 12 известных модулей, выполняющихся с помощью команд, загружаемых по URL с Pastebin. Атаки начались 15 октября и продолжались в течение 12 дней, пока репозиторий на GitHub и URL Pastebin не были заблокированы.

Согласно новому отчету Juniper Threat Labs, вторая волна атак началась 10 ноября. Киберпреступники стали использовать другой репозиторий GitHub, помимо прочего, содержащий криптомайнер для Linux («ls»), файл со списком паролей для брутфорс-атак («pass») и эксплоита для локального повышения привилегий для Linux x86_64.

Первоначальное заражение происходит через X10-unix, двоичный файл на языке программирования Go, который загружает с GitHub полезную нагрузку для следующего этапа атаки.

«Червь проводит широкую серию атак, нацеленных на web-приложения, IP-камер, маршрутизаторов и др., содержащих как минимум 31 известную уязвимость, семь из которых также использовались предыдущим образцом Gitpaste-12, а также пытающихся взломать открытые подключения Android Debug Bridge», - сообщил исследователь Juniper Threat Labs Эшер Лэнгтон (Asher Langton).

В число эксплуатируемых ботнетом уязвимостей входят: уязвимости удаленного кода в F5 BIG-IP Traffic Management User Interface ( CVE-2020-5902 ), Pi-hole Web (CVE-2020-8816), Tenda AC15 AC1900 ( CVE-2020-10987 ) и vBulletin (CVE-2020-17496), а также уязвимость SQL-инъекции в FUEL CMS (CVE-2020-17463).

Помимо установки X10-unix и ПО для майнинга Monero, вредонос также открывает бэкдор, прослушивая порты 30004 и 30006, загружает внешний IP-адрес жертвы в закрытую учетную запись Pastebin и пытается подключиться к соединениям Android Debug Bridge через порт 5555. При успешном подключении Gitpaste-12 переходит к загрузке файла APK Android («weixin.apk»), который в конечном итоге устанавливает версию X10-unix для процессора ARM.

По оценкам Juniper, в общей сложности было обнаружено не менее 100 различных хостов, распространяющих инфекцию.