🚀 A CloudSEK se torna a primeira empresa de segurança cibernética de origem indiana a receber investimentos da Estado dos EUA fundo
Leia mais
Tipo
BotnetAlvo
Sistema de gerenciamento de conteúdo (CMS)O botnet KashmirBlack está ativo desde novembro de 2019 e está vinculado a um grupo de hackers indonésio conhecido como PhantomGhost. Anteriormente, o objetivo principal do botnet era infectar sites e usar seus servidores para mineração de criptomoedas, redirecionando o tráfego legítimo para páginas de spam e desfigurando sites. Mas em maio de 2020, o KashmirBlack passou por algumas mudanças. A botnet agora lida com centenas de bots, cada um se comunicando com o servidor C2, realizando ataques de força bruta, instalando backdoors e expandindo continuamente o tamanho da botnet. O KashmirBlack procura sites que usam software desatualizado e, em seguida, usa os exploits para detectar vulnerabilidades conhecidas, para comprometer o site e seu servidor subjacente. Atualmente, o botnet tem como alvo plataformas de sistema de gerenciamento de conteúdo (CMS).O botnet infecta máquinas explorando uma vulnerabilidade de execução remota de código do PHPUnit (CVE-2017-9841) em plataformas CMS. A rede da botnet está espalhada por 30 países, controlada por um único servidor C2, com mais de 60 servidores substitutos. O botnet utiliza várias vulnerabilidades para se esconder em máquinas comprometidas e manter suas operações. Além disso, a botnet usa estruturas de desenvolvimento de software como DevOps e Agile para adicionar novos dispositivos a ela. A maioria das empresas é afetada devido ao recente aumento no número de usuários que utilizam plataformas CMS para oferecer suporte ao trabalho remoto.[/vc_wp_text] [vc_wp_text]Impacto
- O botnet pode ser usado para realizar ataques distribuídos de negação de serviço (DDoS).
- As credenciais da conta podem vazar, levando à aquisição da conta.
- Fornece ao atacante acesso a um dispositivo e sua conexão com uma rede.
COI
Bot de spam - arquivos maliciosos e comprometidos
- /index.php
- /priv_sym/conf.php
- /priv_sympy/sym.py
- /tmp/pear/download/imagick-3.4.4.tgz
- /wp-content/plugins/three-column-screen-layout/db.php
- /wp-content/plugins/wordfence/url/cach/classes/model/wp-pingg.php
- /wp-content/sqlapi.php
- /wp-content/themes/danfe/db.php
- /wp-content/themes/danfe/indx.php
- /wp-content/themes/danfe/ramage_Libytheidae.php
- /wp-content/themes/danfe/tbl_status.php
- /wp-content/themes/danfe/wp_class_datlib.php
- /wp-content/themes/danfe/wp-data.php
- /wp-load.php
- Arquivos com o prefixo 'original1'.
IPs negros conhecidos da Caxemira
- 101.50.3.132
- 160,153,192,222
- 198,198.189
- 35,240,254,161
- 103,11.75,15
- 161,189,159,172
- 198,37,123,60
- 35,242,128,177
- 103,116.16,67
- 161,189,202,40
- 198,57,247,202
- 35,244,124,106
- 103,145,226,104
- 162,144,18,118
- 198,58,99,254
- 35,244,72,212
- 103,147,154,41
- 162,144,68,170
- 199.101,100,123
- 35,247,132,6
- 103,21,58,29
- 162,214,71,13
- 199.101,100,124
- 35,247,160,99
- 103,229,72,13
- 162,241,143,7
- 199.188,200.224
- 35,247,185,96
- 103,229,72,89
- 162,241,156,242
- 199,79,62,126
- 37,187,163,201
Mitigação
- Certifique-se de que os arquivos e módulos principais do CMS estejam atualizados.
- Use senhas fortes.
- Implemente o firewall de aplicativos web (WAF).
- O acesso deve ser negado ou limitado para arquivos e caminhos confidenciais, como wp-config.php, install.php e eval-stdin.php.
- Mantenha seu sistema atualizado e use um software antivírus.
