CatDDoS僵尸网络正在利用CVE-2023-46604进行传播

admin 2024年4月17日21:50:37评论6 views字数 2338阅读7分47秒阅读模式

近期,360安全大脑捕获到一款僵尸网络变种正在利用Apache ActiveMQ漏洞(CVE-2023-46604)进行积极传播,样本涵盖x86、arm、mpsl等CPU架构。经过分析确认,该变种属于2023年下旬被披露的新兴DDoS僵尸网络——CatDDoS。除了使用CVE-2023-46604传播外,样本内同时还集成了CVE-2017-17215等N day漏洞payload,影响HG532路由器产品。

CVE-2023-46604
Apache ActiveMQ是最流行的开源、多协议、基于Java的消息代理。它支持行业标准协议,用户可以在各种语言和平台上获得客户端选择的好处,用JavaScript、C、C++、Python、.Net编写的客户端连接等,使用无处不在的AMQP协议集成多平台应用程序,通过websockets使用STOMP在web应用程序之间交换消息。
2023-10-27,Apache ActiveMQ官网发布安全更新,修复了一个远程代码执行漏洞CVE-2023-46604。攻击者可构造恶意请求通过Apache ActiveMQ默认的61616端口利用该漏洞,最终在服务器上实现远程代码执行。
影响版本    

Apache  ActiveMQ 5.18.0 < 5.18.3

Apache  ActiveMQ 5.17.0 < 5.17.6

Apache  ActiveMQ 5.16.0 < 5.16.7

Apache  ActiveMQ < 5.15.16

Apache  ActiveMQ Legacy OpenWire Module 5.18.0 < 5.18.3

Apache  ActiveMQ Legacy OpenWire Module 5.17.0 < 5.17.6

Apache  ActiveMQ Legacy OpenWire Module 5.16.0 < 5.16.7

Apache  ActiveMQ Legacy OpenWire Module 5.8.0 < 5.15.16

由于该漏洞的利用细节与概念验证程序(PoC)已被公开,使得攻击者能够轻松发起针对该漏洞的利用活动。迄今也已经出现了多起实际的攻击案例,包括HelloKitty勒索病毒、GoTitan僵尸网络、Kinsing(又称H2Miner)挖矿木马等。
CatDDoS僵尸网络
对CVE-2023-46604漏洞的利用,涉及到利用ClassPathXmlApplicationContext类来加载指定的恶意XML配置文件以实现RCE。捕获到的实际攻击如下:

CatDDoS僵尸网络正在利用CVE-2023-46604进行传播

mq.xml恶意文件的内容如下:

CatDDoS僵尸网络正在利用CVE-2023-46604进行传播

借助sh命令,攻击者得以在受害服务器上成功下载与运行名为selfrep.x86的恶意ELF程序,带有mq.x86的运行参数以标识Apache ActiveMQ的感染来源。

文件名

selfrep.x86

MD5

8BED0B9A5FCF46FDC9D31A669A3F99BE

文件格式

ELF 64-bit LSB executable

文件大小

164.10 KB (168040 bytes)

selfrep.x86是一个在Mirai源码基础上二次开发的新型僵尸网络,由于早期使用了catddos.pirate作为C2域名、以及攻击者留下的字符串信息中似乎对猫情有独钟,因而得名CatDDoS。CatDDoS较之Mirai的新颖之处在于引入了OpenNIC域名体系作为C2域名,同时使用了ChaCha20算法对一些关键信息进行加密,这些行为又与Fodcha僵尸网络存在一定的相似之处。
selfrep.x86运行后,会修改进程名为随机字符串,并在控制台打印内容"Aren't I a menace?"。通过绑定本地127.0.0[.]1:46372端口确保单一实例。从/根目录开始遍历所有文件,尝试寻找watchdog看门狗路径,通过向watchdog发送0x80045704控制码以禁用watchdog功能,防止设备重启。

CatDDoS僵尸网络正在利用CVE-2023-46604进行传播

获取/proc/[pid]/fd,若其中不包含sshd等字段,则将其kill掉,同时上报给Reporter Server:194.127.178[.]114:7733

CatDDoS僵尸网络正在利用CVE-2023-46604进行传播

使用了ChaCha20算法对部分字符串、C2通信进行加/解密,key和nonce分别为:

CatDDoS僵尸网络正在利用CVE-2023-46604进行传播

解密出的字符串中包含了具体的C2:omgnoway[.]geek。该域名隶属于OpenNIC域名体系,与常见的ICANN域名不同,OpenNIC域名无法被通用DNS系统解析,需要借助某些特定的公共或私有DNS服务器进行解析。selfrep.x86样本中预先定义了用于OpenNIC域名解析的DNS服务器:

CatDDoS僵尸网络正在利用CVE-2023-46604进行传播

CatDDoS僵尸网络目前稳定在2.0.4版本,捕获到的实际流量如下,由两部分的结构组成:修改了Mirai源码的4字节明文x00x00x00x04、交替的"长度 + 对应字段(部分字段为经过ChaCha20算法加密后的密文)"。

CatDDoS僵尸网络正在利用CVE-2023-46604进行传播

目前的CatDDoS僵尸网络支持以下攻击向量:

CatDDoS僵尸网络正在利用CVE-2023-46604进行传播

修复建议

Tips

Apache ActiveMQ官网发布的最新版本已经修复CVE-2023-46604漏洞。考虑到该漏洞仍在被世界各地的攻击者积极利用,建议使用Apache ActiveMQ的用户及时升级至5.15.16、5.16.7、5.17.6或5.18.3等安全版本。

附录 IOC
IP
185.245.83[.]56
194.127.178[.]114
38.6.224[.]248     
C2
omgnoway[.]geek
MD5
8bed0b9a5fcf46fdc9d31a669a3f99be
bc837807621ecef8abe394928514b154    

原文始发于微信公众号(360威胁情报中心):CatDDoS僵尸网络正在利用CVE-2023-46604进行传播

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年4月17日21:50:37
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   CatDDoS僵尸网络正在利用CVE-2023-46604进行传播https://cn-sec.com/archives/2667892.html

发表评论

匿名网友 填写信息