近日,网络安全研究人员发现了一个名为 Gorilla(又名 GorillaBot)的新僵尸网络恶意软件家族,它是已泄露的 Mirai 僵尸网络源代码的变种。
网络安全公司 NSFOCUS 在上个月发现了这一活动,并称该僵尸网络在今年 9 月 4 日至 9 月 27 日期间发布了 30 多万条攻击命令,攻击密度之高令人震惊。据悉,该僵尸网络平均每天会发出不少于 2万条分布式拒绝服务(DDoS)攻击的命令。
该僵尸网络以 100 多个国家为目标,攻击大学、政府网站、电信、银行、游戏和赌博部门。美国、加拿大和德国等多个国家为主要攻击目标。
据介绍,Gorilla 主要使用 UDP flood、ACK BYPASS flood、Valve Source Engine (VSE) flood、SYN flood 和 ACK flood 进行 DDoS 攻击。同时,UDP 协议的无连接特性允许任意源 IP 欺骗以产生大量流量。
除了支持 ARM、MIPS、x86_64 和 x86 等多种 CPU 架构外,僵尸网络还具备与五个预定义命令与控制(C2)服务器之一连接的功能,以等待 DDoS 命令。
有趣的是,该恶意软件还嵌入了利用 Apache Hadoop YARN RPC 安全漏洞实现远程代码执行的功能。值得注意的是,据阿里云和趋势科技称,该缺陷早在 2021 年就已在野外被滥用。
通过在“/etc/systemd/system/”目录下创建名为custom.service的服务文件,并将其配置为每次系统启动时自动运行,就可以在主机上实现持久化。
该服务负责从远程服务器(“pen.gorillafirewall[.]su”)下载并执行 shell 脚本(“lol.sh”)。类似的命令还被添加到“/etc/inittab”、“/etc/profile ”和“/boot/bootcmd ”文件中,以便在系统启动或用户登录时下载并运行 shell 脚本。
NSFOCUS 表示:该僵尸网络引入了多种 DDoS 攻击方法,并使用了 Keksec 组织常用的加密算法来隐藏关键信息,同时采用多种技术来保持对物联网设备和云主机的长期控制,作为一个新兴僵尸网络家族其展现出了高度的反侦测意识。
参考来源:New Gorilla Botnet Launches Over 300,000 DDoS Attacks Across 100 Countries
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022