近日，Check Point研究人員發現了一系列與FreakOut 僵尸網絡相關的攻擊活動，主要針對linux 系統上運行的應用中的未修復漏洞。
該僵尸網絡最早出現在2020年11月，部分攻擊活動中使用了最新的一些漏洞來在操作系統命令中注入。攻擊活動的主要目標是入侵系統來創建IRC僵尸網絡，然后利用僵尸網絡進行其他惡意活動，比如DDoS攻擊和加密貨幣挖礦。
FreakOut感染鏈
圖 FreakOut攻擊流圖
攻擊活動利用了最新發現的3個漏洞：CVE-2020-28188、CVE-2021-3007和CVE-2020-7961。攻擊者利用這些漏洞可以在被入侵的服務器上上傳和執行Python腳本。
CVE-2020-28188
該漏洞是“makecvs” php頁面 (/include/makecvs.php)中的“event”參數缺乏輸入驗證。未授權的遠程攻擊者可以利用該漏洞來注入操作系統命令，獲取服務器的控制權。
圖 利用CVE-2020-28188漏洞的攻擊
CVE-2021-3007
該漏洞是不安全的對象反序列化引起的。在Zend Framework 3.0.0及更高版本中，攻擊者濫用Zend3 從對象中加載類的特征來在服務器上上傳和執行惡意代碼。代碼可以使用“callback”參數來上傳，并插入惡意代碼。
圖 利用CVE-2021-3007的攻擊
CVE-2020-7961
該漏洞是Liferay Portal的JAVA 反序列化漏洞。攻擊者利用該漏洞可以提供一個惡意對象，反序列化時就可以實現遠程代碼執行。
圖 利用CVE-2020-7961的攻擊
漏洞影響
漏洞影響以下產品：
·TerraMaster 操作系統：用于管理TerraMaster NAS設備的操作系統；
·Zend 框架：使用PHP構建的web應用和服務包，安裝量超過5.7億次；
·Liferay Portal ：免費的開源企業網關，是用Java 寫的web應用平臺，可以為網站和網關開發提供一些特征。
僵尸網絡功能
FreakOut 僵尸網絡具有模塊化的結構，對于每個支持的功能會使用特定的函數。僵尸網絡的功能包括：
·端口掃描工具
· 收集系統指紋，包括設備地址、內存信息、系統的TerraMaster操作系統版本等；
·創建和發送包：
·中間人攻擊的ARP投毒；
·支持UDP、TCP包，同時支持HTTP、DNS、SSDP、SNMP等應用層協議；
·暴力破解，使用硬編碼的憑證；
·處理運行時間錯誤異常包；
·嗅探網絡：執行ARP poisoning功能
·使用利用函數來傳播到其他設備；
·將自己添加到rc.local 配置中來獲取駐留；
·發起DDOS和洪泛攻擊；
·打開客戶端的反向shell；
·通過名字或者id kill進程。
完整技術分析報告參見：https://research.checkpoint.com/2021/freakout-leveraging-newest-vulnerabilities-for-creating-a-botnet/
參考及來源：https://securityaffairs.co/wordPress/ target=_blank class=infotextkey>WordPress/113606/cyber-crime/freakout-botnet.html
