قامت الروبوتات الوليدة القائمة على نظام Linux والمسمى Enemybot بتوسيع قدراتها لتشمل نقاط الضعف الأمنية التي تم الكشف عنها مؤخرًا في ترسانتها لاستهداف خوادم الويب وأجهزة Android وأنظمة إدارة المحتوى (CMS).
قالت AT&T Alien Labs في مقال تقني نُشر الأسبوع الماضي : “تتبنى البرمجيات الخبيثة بسرعة ثغرات ليوم واحد كجزء من قدراتها الاستغلالية” . “يتم استهداف خدمات مثل VMware Workspace ONE و Adobe ColdFusion و WordPress و PHP Scriptcase والمزيد بالإضافة إلى أجهزة IoT و Android.”
تم الكشف عن Enemybot لأول مرة من قبل Securonix في مارس ، ثم من قبل Fortinet ، وقد تم ربط Enemybot بممثل تهديد تم تعقبه باسم Keksec (المعروف أيضًا باسم Kek Security و Necro و FreakOut) ، مع هجمات مبكرة تستهدف أجهزة التوجيه من Seowon Intech و D-Link و iRZ.
يستمد Enemybot ، القادر على تنفيذ هجمات DDoS ، أصوله من عدة شبكات أخرى مثل Mirai و Qbot و Zbot و Gafgyt و LolFMe. يكشف تحليل أحدث متغير أنه يتكون من أربعة مكونات مختلفة –
- وحدة Python لتنزيل التبعيات وتجميع البرامج الضارة لبنى أنظمة تشغيل مختلفة
- قسم الروبوتات الأساسية
- جزء تشويش مصمم لترميز وفك تشفير سلاسل البرامج الضارة ، و
- وظيفة قيادة وتحكم لتلقي أوامر الهجوم وجلب حمولات إضافية
قال الباحثون ، مشيرين إلى وظيفة “adb_infect” الجديدة: “في حالة توصيل جهاز Android من خلال USB ، أو محاكي Android يعمل على الجهاز ، سيحاول EnemyBot إصابته بتنفيذ أمر shell”. يشير ADB إلى Android Debug Bridge ، وهو أداة مساعدة لسطر الأوامر تستخدم للتواصل مع جهاز Android.
تم أيضًا دمج وظيفة الماسح الضوئي الجديدة التي تم تصميمها للبحث عن عناوين IP العشوائية المرتبطة بالأصول التي تواجه الجمهور بحثًا عن نقاط الضعف المحتملة ، مع مراعاة الأخطاء الجديدة أيضًا في غضون أيام من الكشف عنها علنًا.
إلى جانب ثغرات Log4Shell التي ظهرت في ديسمبر 2021 ، يتضمن ذلك عيوبًا تم تصحيحها مؤخرًا في أجهزة توجيه Razer Sila (بدون CVE) و VMware Workspace ONE Access ( CVE-2022-22954 ) و F5 BIG-IP ( CVE-2022-1388 ) بالإضافة إلى نقاط الضعف في إضافات WordPress مثل Video Synchro PDF.
فيما يلي أوجه القصور الأمنية المسلحة الأخرى –
-
- CVE-2022-22947 (درجة CVSS: 10.0) – ثغرة أمنية لإدخال الكود في Spring Cloud Gateway
- CVE-2021-4039 (درجة CVSS: 9.8) – ثغرة أمنية في إدخال الأوامر في واجهة الويب الخاصة بـ Zyxel
- CVE-2022-25075 (درجة CVSS: 9.8) – ثغرة أمنية في حقن الأوامر في جهاز التوجيه اللاسلكي TOTOLink A3000RU
- CVE-2021-36356 (درجة CVSS: 9.8) – ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد في برنامج KRAMER VIAware
- CVE-2021-35064 (درجة CVSS: 9.8) – ثغرة أمنية في تصعيد الامتياز وتنفيذ الأمر في Kramer VIAWare
- CVE-2020-7961 (درجة CVSS: 9.8) – ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد في Liferay Portal
علاوة على ذلك ، تمت مشاركة شفرة مصدر الروبوتات على GitHub ، مما يجعلها متاحة على نطاق واسع لممثلي التهديد الآخرين. يقرأ ملف README الخاص بالمشروع “لا أتحمل أية مسؤولية عن أي أضرار ناجمة عن هذا البرنامج” . “تم نشر هذا بموجب ترخيص Apache ويعتبر أيضًا فنًا.”
قال الباحثون: “يبدو أن Enemybot من Keksec قد بدأ للتو في الانتشار ، ولكن نظرًا للتحديثات السريعة للمؤلفين ، فإن هذه الروبوتات لديها القدرة على أن تصبح تهديدًا كبيرًا لأجهزة إنترنت الأشياء وخوادم الويب”.
“يشير هذا إلى أن مجموعة Keksec تتمتع بموارد جيدة وأن المجموعة طورت البرامج الضارة للاستفادة من نقاط الضعف قبل تصحيحها ، وبالتالي زيادة السرعة والنطاق الذي يمكن أن تنتشر به.”
