新型僵尸网络针对 100 个国家发起 30 万次 DDoS 攻击
2024-10-8 10:2:17 Author: www.freebuf.com(查看原文) 阅读量:28 收藏

freeBuf

主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

近日,网络安全研究人员发现了一个名为 Gorilla(又名 GorillaBot)的新僵尸网络恶意软件家族,它是已泄露的 Mirai 僵尸网络源代码的变种。

网络安全公司 NSFOCUS 在上个月发现了这一活动,并称该僵尸网络在今年 9 月 4 日至 9 月 27 日期间发布了 30 多万条攻击命令,攻击密度之高令人震惊。据悉,该僵尸网络平均每天会发出不少于 2万条分布式拒绝服务(DDoS)攻击的命令。

该僵尸网络以 100 多个国家为目标,攻击大学、政府网站、电信、银行、游戏和赌博部门。美国、加拿大和德国等多个国家为主要攻击目标。

据介绍,Gorilla 主要使用 UDP flood、ACK BYPASS flood、Valve Source Engine (VSE) flood、SYN flood 和 ACK flood 进行 DDoS 攻击。同时,UDP 协议的无连接特性允许任意源 IP 欺骗以产生大量流量。

除了支持 ARM、MIPS、x86_64 和 x86 等多种 CPU 架构外,僵尸网络还具备与五个预定义命令与控制(C2)服务器之一连接的功能,以等待 DDoS 命令。

有趣的是,该恶意软件还嵌入了利用 Apache Hadoop YARN RPC 安全漏洞实现远程代码执行的功能。值得注意的是,据阿里云和趋势科技称,该缺陷早在 2021 年就已在野外被滥用。

通过在“/etc/systemd/system/”目录下创建名为custom.service的服务文件,并将其配置为每次系统启动时自动运行,就可以在主机上实现持久化。

该服务负责从远程服务器(“pen.gorillafirewall[.]su”)下载并执行 shell 脚本(“lol.sh”)。类似的命令还被添加到“/etc/inittab”、“/etc/profile ”和“/boot/bootcmd ”文件中,以便在系统启动或用户登录时下载并运行 shell 脚本。

NSFOCUS 表示:该僵尸网络引入了多种 DDoS 攻击方法,并使用了 Keksec 组织常用的加密算法来隐藏关键信息,同时采用多种技术来保持对物联网设备和云主机的长期控制,作为一个新兴僵尸网络家族其展现出了高度的反侦测意识。

参考来源:New Gorilla Botnet Launches Over 300,000 DDoS Attacks Across 100 Countries 

本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022


文章来源: https://www.freebuf.com/news/412218.html
如有侵权请联系:admin#unsafe.sh