Mirai僵尸网络利用Apache Flink任意文件上传漏洞 (CVE-2020-17518)攻击云主机，腾讯云防火墙支持拦截
长按二维码关注
腾讯安全威胁情报中心
一、概述
腾讯安全威胁情报中心检测发现Mirai僵尸网络利用Apache Flink 任意文件上传漏洞(CVE-2020-17518)攻击云主机，得手后会植入Mirai僵尸木马。Mirai僵尸网络主要控制肉鸡系统发起DDoS攻击，或通过受控主机挖矿牟利，中招系统正常服务会受性能下降影响，已部署腾讯云防火墙的云主机可以直接防御漏洞攻击而不受影响。
以往Mirai家族的这一分支主要使用Hadoop YARN未授权漏洞入侵云主机，同时利用物联网设备漏洞对部分AVTECH厂商下的智能摄像头设备进行感染。本次攻击活动利用Apache Flink漏洞(CVE-2020-17518)攻击，而采用该组件的云主机数量庞大。
腾讯安全网络空间测绘结果显示，采用Apache Flink的服务器分布于世界各地。中国远超其他国家位居首位，占比超过60%。美国、德国分列第2、3位。中国大陆地区，浙江、北京、上海、广东四省市占比超过80%。
腾讯安全专家提醒政企客户注意修复Apache Flink安全漏洞，腾讯安全全系列产品均已支持检测防御本次威胁。
清理&加固
排查以下可疑进程&文件
随机名进程&路径为/tmp/Cisco.x86
加固
建议升级Flink 到无漏洞版本。
二、腾讯安全解决方案
已部署腾讯云防火墙的用户不会受本次攻击影响，腾讯云防火墙已支持对Mirai僵尸网络变种利用的多种漏洞攻击进行检测拦截，腾讯云防火墙内置虚拟补丁防御机制，可积极防御某些高危且使用率很高的漏洞利用。
腾讯Web应用防火墙（WAF）支持防御Mirai僵尸网络所利用的多种漏洞攻击。
腾讯主机安全（云镜）可检测清除Mirai木马样本落地，客户登录腾讯云->主机安全控制台，检查病毒木马告警信息，将恶意木马一键隔离或删除。腾讯主机安全同时支持检测高危漏洞或弱口令风险，支持通过基线检测全面提升主机安全等级。
腾讯主机安全（云镜）可对Mirai木马入侵后下载执行高危命令进行告警。
私有云客户可旁路部署腾讯高级威胁检测系统（NTA、御界）进行流量检测分析，及时发现黑客团伙利用漏洞对企业私有云的攻击活动。腾讯高级威胁检测系统（NTA、御界）可检测到利用Mirai僵尸网络发起的Apache Flink 任意文件上传漏洞攻击(CVE-2020-17518) 行为。
企业客户可旁路部署腾讯天幕（NIPS）实时拦截Mirai僵尸网络的网络通信，彻底封堵攻击流量。腾讯天幕（NIPS）基于腾讯自研安全算力算法PaaS优势，形成具备万亿级海量样本、毫秒级响应、自动智能、安全可视化等能力的网络边界协同防护体系。
欢迎长按识别以下二维码，添加腾讯安全小助手，咨询了解更多腾讯安全产品信息。
三、详细分析
腾讯云防火墙检测到Mirai僵尸网络使用Apache Flink任意文件上传漏洞(CVE-2020-17518) 攻击，植入恶意jar包后执行恶意接口指令，进一步对失陷云主机进行控制。
植入的*_dc-chenk.jar包后门，其功能是执行任意命令。
Mirai僵尸网络的操纵者保留了一贯的物联网攻击方式：针对AVTECH厂商下的IOT设备进行漏洞攻击传播。
通过日志可以发现，攻击者保留了通过Hadoop YARN未授权漏洞入侵。
威胁视角看攻击行为
ATT&CK阶段 |
行为 |
侦察 |
通过扫描对应端口，确认可攻击目标存在的Web服务和系统服务：Apache Flink、Hadoop等。 |
资源开发 |
注册C2服务器 |
初始访问 |
利用对外开放的Web，系统服务，发起漏洞攻击植入恶意Payload |
执行 |
利用漏洞植入恶意payload进而执行恶意命令，随后下载植入僵尸网络木马 |
防御规避 |
僵尸网络木马伪装自身随即名，意图躲避运维人员排查追踪。 |
发现 |
通过扫描目标开放端口信息以确认后续攻击方式 |
影响 |
Mirai僵尸网络后门的长期驻留给服务器带来不可预料的各类型网络风险，同时Mirai僵尸网络发起的DDOS攻击也会给互联网带来不可预料的风险。 |
IOCs
MD5
9df51fd1719492b13a7c2ec150ceda96
1e6e3993c531914f30ab858b0fd585f6
d38cdadfb1ec91ad9dfc59af68073070
fe1285bc2879d6f37a1dc6606cae8b0f
IP
168.138.143.186
67.205.159.121
URL
hxxp://168.138.143.186/Mirror/Linux.arm
hxxp://168.138.143.186/Mirror/Linux.arm5
hxxp://168.138.143.186/Mirror/Linux.arm6
hxxp://168.138.143.186/Mirror/Linux.arm7
hxxp://168.138.143.186/Mirror/Linux.m68k
hxxp://168.138.143.186/Mirror/Linux.mips
hxxp://168.138.143.186/Mirror/Linux.mpsl
hxxp://168.138.143.186/Mirror/Linux.ppc
hxxp://168.138.143.186/Mirror/Linux.sh
hxxp://168.138.143.186/Mirror/Linux.spc
hxxp://168.138.143.186/Mirror/Linux.x86
关于腾讯安全威胁情报中心
腾讯安全威胁情报中心是一个涵盖全球多维数据的情报分析、威胁预警分析平台。依托顶尖安全专家团队支撑，帮助安全分析人员、安全运维人员快速、准确地对可疑威胁事件进行预警、处置和溯源分析。
长按二维码关注
腾讯安全威胁情报中心