Androxgh0st 僵尸网络整合 Mozi，扩大对物联网漏洞的攻击

CloudSEK 报告称，Androxgh0st 僵尸网络已与 Mozi 僵尸网络集成，并利用了 Web 应用程序和 IoT 设备中的各种漏洞。

CloudSEK 的 AI 数字风险平台 XVigil 的网络安全研究人员发现了 Androxgh0st 僵尸网络的新发展。这个恶意网络最初自 2024 年 1 月开始针对网络服务器，经过改造后重新出现。

据报道，该僵尸网络现在共享臭名昭著的 Mozi 僵尸网络的组件，后者以感染物联网 (IoT) 设备而闻名。对Androxgh0st的 C&C 日志的分析揭示了操作变化，因为僵尸网络现在似乎正在部署与 Mozi 相关的有效载荷。

这意味着 Androxgh0st 可能已将 Mozi 的有效载荷作为模块集成到其僵尸网络架构中，从而利用其 IoT 感染和传播机制。研究人员在调查期间观察到，这种扩展使 Androxgh0st 能够感染更多 IoT 设备，而无需单独的感染程序。

此外，研究人员还注意到 Androxgh0st 的攻击方法有所扩展。僵尸网络现在瞄准的是 Web 服务器以外的漏洞，其中包括：

• Cisco ASA：利用跨站点脚本     (XSS) 漏洞注入恶意脚本。

• Atlassian JIRA：利用路径遍历漏洞（CVE-2021-26086）访问敏感文件。

• PHP 框架：针对 Laravel（CVE-2018-15133）和 PHPUnit（CVE-2017-9841）中的漏洞获取后门访问权限。

• 新漏洞：僵尸网络利用最近发现的漏洞：如 CVE-2023-1389（TP-Link）和 CVE-2024-36401（GeoServer））展示其不断发展的能力。

• Metabase：本地文件包含漏洞，可能导致信息泄露和潜在的远程代码执行。

• Apache Web 服务器：该僵尸网络还利用CVE-2021-41773，影响Apache 版本 2.4.49 和 2.4.50，以运行任意代码并可能获取敏感数据或凭据。

• 物联网设备：通过整合 Mozi 僵尸网络功能，Androxgh0st 现在可以瞄准更广泛的物联网设备，包括路由器、安全摄像头和其他网络连接设备。

该僵尸网络还瞄准 Metabase、Sophos 防火墙、Oracle E-Business Suite、OptiLink ONT1GEW GPON、PHP CGI、TP-Link Archer AX21、WordPress 插件背景图像裁剪器、Netgear DGN 设备和 GPON 家庭路由器中的漏洞，这些漏洞都容易受到远程代码执行、信息泄露和利用。

研究人员指出：“Androxgh0st 积极部署暴力凭证填充、命令注入、文件包含和恶意软件传播。通过利用 Mozi 的 IoT 功能，Androxgh0st 现在可以利用广泛地理范围内配置错误的路由器和设备，感染亚洲、欧洲及其他地区的设备。”

Androxgh0st 僵尸网络的活跃目标包括：德国、土耳其、美国、印度、中国香港特区、罗马尼亚、葡萄牙、波兰、立陶宛、斯洛文尼亚、奥地利、英国、韩国、泰国、加拿大、西班牙、卡塔尔、新加坡。

Mozi 僵尸网络主要针对 Netgear、Dasan、D-Link 路由器和 MVPower DVR Jaws 服务器，在中国、印度和阿尔巴尼亚运营。2021 年，中国执法部门逮捕Mozi 僵尸网络创建者。

Androxgh0st 和 Mozi 之间共享的命令基础架构表明其操作集成程度很高，可能由同一网络犯罪集团控制。这种集成将影响全球的 Web 应用程序和 IoT 设备。

安全专家建议相关组织立即修补 Androxgh0st 利用的漏洞，监控网络流量中是否存在可疑连接和登录尝试，并分析 HTTP 和 Web 服务器日志以查找入侵迹象。

技术报告：https://www.cloudsek.com/blog/mozi-resurfaces-as-androxgh0st-botnet-unraveling-the-latest-exploitation-wave

新闻链接：

https://hackread.com/androxgh0st-botnet-integrate-mozi-iot-vulnerabilities/

讲述普通人能听懂的安全故事