研究人员近日发现8220组织正在利用Log4Shell漏洞攻击VMware Horizon服务器，以便后续进行挖矿获利。受攻击的目标系统中包含韩国能源企业，由于系统存在漏洞且未打补丁，就被攻击者集火攻击。
Log4Shell（CVE-2021-44228）是Java日志程序Log4j的远程代码执行漏洞，攻击者可以通过使日志中包含远程Java对象来执行。
8220团伙
8220团伙是一个针对Windows与Linux系统进行攻击的组织，自从2017年以来一直活跃。如果成功入侵系统，8220主要通过挖矿来获利。该团伙不局限于特定地域，而是全球范围内发起攻击。此前，8220也利用Atlassian Confluence服务器的漏洞CVE-2022-26134等进行攻击。
如果利用漏洞成功，攻击者会执行PowerShell命令来下载并执行后续的PowerShell脚本，最终安装门罗币矿机。
利用Atlassian Confluence漏洞执行的PowerShell命令
近日，Fortinet的研究人员发现8220开始利用Oracle Weblogic服务器的漏洞安装ScrubCrypt。ScrubCrypt是一种使用.NET开发的恶意软件，可以安装其他恶意软件。通常情况下，ScrubCrypt最终会安装门罗币矿机，这也是8220团伙的最终目标。
利用Oracle Weblogic漏洞攻击执行的PowerShell命令
研究人员确认，8220团伙最近一直在利用Oracle Weblogic漏洞和Log4Shell漏洞下载ScrubCrypt，并通过ScrubCrypt安装门罗币矿机。
Log4Shell攻击
自从2021年12月被披露以来，Log4Shell漏洞已经被广泛利用。2022年，Lazarus组织也利用该漏洞发起攻击并传播NukeSped恶意软件。攻击者针对未打补丁的VMware Horizon中存在的log4j漏洞，该产品是用于远程工作与云基础架构的虚拟桌面解决方案。
分析日志发现，ws_tomcatservice.exe进程安装了8220团伙使用的门罗币矿机。
通过ws_tomcatservice.exe进程执行的PowerShell命令
尽管没有完整的网络数据包，但根据VMware Horizon的ws_tomcatservice.exe进程执行PowerShell命令与8220团伙常用的攻击方式来看，很可能是通过Log4Shell漏洞进行的攻击。
PowerShell命令执行日志
ScrubCrypt与XMRigCoinMiner分析
恶意软件进程树
利用Log4Shell漏洞攻击下载并执行的PowerShell脚本，脚本文件名为bypass.ps1。尽管恶意软件的代码有所不同，但文件名称与功能基本类似。
bypass.ps1 PowerShell脚本
bypass.ps1是带有混淆的PowerShell脚本，去除混淆后如下所示：
PowerShell脚本
此脚本首先绕过AMSI，然后在%TEMP%PhotoShop-Setup-2545.exe路径中创建并执行内嵌的恶意软件。PhotoShop-Setup-2545.exe是以.NET开发的Downloader类恶意软件，它会下载恶意代码并将其注入RegAsm.exe。
.Net恶意软件
在RegAsm.exe进程中注入并执行的恶意软件已经过混淆处理，但与Fortinet研究ScrubCrypt的相似性来看，很可能是一种类似ScrubCrypt的恶意软件。该ScrubCrypt包含3个CC的URL和4个端口（58001、58002、58003和58004）。
ScrubCrypt（RegAsm.exe）的CC地址
ScrubCrypt连接到CC服务器并下载其他恶意代码，实际中也发现了安装门罗币矿机的命令。
安装XMRigCoinMiner的PowerShell命令
deliver1.exe是用于下载并执行注入的恶意软件，将ScrubCrypt保存在MSBuild.exe的内部资源中。该ScrubCrypt包含2个CC地址和4个端口号（9090、9091、9092和8444）。
ScrubCrypt（MSBuild.exe）的CC地址
恶意软件下载
ScrubCrypt在注册表中增加了执行矿机时使用的配置数据（注入目标进程、矿池地址、钱包地址和矿机下载地址）、数据文件plugin_3.dll和plugin_4.dll。
注册表数据
plugin_4.dll是一种经过编码的.NET恶意软件，它的主要功能是解码plugin_3.dll文件，释放矿机，并将plugin_3.dll注入到指定的良性进程AddInProcess.exe中。
矿机注入的配置数据
攻击者使用的门罗币钱包地址与之前针对Atlassian Confluence漏洞攻击和Oracle Weblogic漏洞攻击中使用的门罗币地址相同，8220团伙一直使用相同的钱包地址。
结论
8220团伙针对未打补丁的系统发起攻击，安装门罗币矿机进行挖矿获利。该组织不仅针对存在漏洞的Atlassian Confluence发起攻击，也针对存在Log4Shell漏洞的VMware Horizon发起攻击。
安全圈
网罗圈内热点，专注网络安全。
实时资讯，一手掌握！
好看就分享，有用就点个赞。
支持「安全圈」就点个三连吧！
特别声明：以上内容（如有图片或视频亦包括在内）为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
来源：
