近日，工業(yè)和信息化部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺(tái)（CSTIS）監(jiān)測(cè)發(fā)現(xiàn)Morte僵尸網(wǎng)絡(luò)持續(xù)活躍，其主要攻擊目標(biāo)為SOHO路由器、物聯(lián)網(wǎng)（IoT）設(shè)備及Oracle WebLogic、WordPress、vBulletin等企業(yè)應(yīng)用，可能導(dǎo)致數(shù)據(jù)泄露、系統(tǒng)受控、業(yè)務(wù)中斷等風(fēng)險(xiǎn)。

Morte僵尸網(wǎng)絡(luò)是一種依賴“加載器即服務(wù)（LaaS）”模式運(yùn)作的網(wǎng)絡(luò)安全威脅，已活躍至少6個(gè)月。該僵尸網(wǎng)絡(luò)主要通過(guò)三種方式入侵目標(biāo)：一是Web界面命令注入，攻擊者濫用ntp、syslog、hostname等未過(guò)濾的POST參數(shù)，執(zhí)行wget/curl | sh等惡意shell命令；二是暴力破解或憑證噴灑設(shè)備默認(rèn)憑證（如admin:admin）；三是利用已知漏洞，包括CVE-2019-16759（vBulletin預(yù)認(rèn)證RCE）、CVE-2019-17574（WordPress Popup Maker插件漏洞）等。入侵目標(biāo)系統(tǒng)后，攻擊者首先釋放小型shell腳本作為dropper（投放器，一種輕量隱蔽的惡意腳本或程序，作為初始跳板秘密部署后續(xù)惡意載荷），隨后安裝跨架構(gòu)原生二進(jìn)制文件（如morte.x86、morte.x86_64），借助BusyBox工具實(shí)現(xiàn)多平臺(tái)的兼容性，同時(shí)利用計(jì)劃任務(wù)、進(jìn)程注入等技術(shù)實(shí)現(xiàn)對(duì)目標(biāo)系統(tǒng)的長(zhǎng)久控制，最終部署加密貨幣挖礦模塊（如基于JSON-RPC協(xié)議的eth_getWork），劫持設(shè)備CPU/GPU資源進(jìn)行加密貨幣挖礦。此外，Morte支持HTTP C2輪詢，在數(shù)十個(gè)IP間輪換基礎(chǔ)設(shè)施以逃避追蹤，攻擊者可借此執(zhí)行DDoS攻擊、數(shù)據(jù)竊取、轉(zhuǎn)售被攻陷設(shè)備訪問(wèn)權(quán)至黑市或進(jìn)一步橫向滲透擴(kuò)大威脅。

建議相關(guān)單位和用戶立即組織排查，修復(fù)相關(guān)設(shè)備及應(yīng)用的安全漏洞，禁用默認(rèn)登錄憑證，關(guān)閉不必要的路由器診斷頁(yè)面，更新防病毒軟件，實(shí)施全盤病毒查殺，并可通過(guò)定期備份數(shù)據(jù)等措施，防范網(wǎng)絡(luò)攻擊風(fēng)險(xiǎn)。

參考及來(lái)源：網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺(tái)