最近，Sophos 發(fā)現(xiàn)一個(gè)未知攻擊者利用 11 年前 Adobe ColdFusion 9 的一個(gè)古老漏洞來對(duì) ColdFusion 服務(wù)器進(jìn)行攻擊，部署 Cring 勒索軟件并進(jìn)行橫向平移。

已經(jīng)發(fā)現(xiàn)了在野攻擊成功的案例，但部分?jǐn)?shù)據(jù)可以恢復(fù)。

ColdFusion 9 服務(wù)器運(yùn)行的是 Windows Server 2008 操作系統(tǒng)，微軟于 2020 年 1 月終止了該操作系統(tǒng)的維護(hù)更新，而 Adobe 早在 2016 年就宣布了 ColdFusion 9 的生命周期終止。因此，該軟件沒有安全補(bǔ)丁可打，這也提醒管理員不能將過時(shí)的關(guān)鍵業(yè)務(wù)暴露給互聯(lián)網(wǎng)。

攻擊者并未因使用的漏洞老舊就馬虎操作，還是使用了相當(dāng)復(fù)雜的技術(shù)來隱藏文件、將代碼注入內(nèi)存，并且刪除了相關(guān)的日志來掩蓋攻擊痕跡。

快速突進(jìn)

通過分析服務(wù)器的日志可知，攻擊者利用分配給烏克蘭 ISP Green Floid 的 IP 地址，在當(dāng)?shù)貢r(shí)間上午 10 點(diǎn)前開始掃描目標(biāo)網(wǎng)站，使用自動(dòng)化工具掃描目標(biāo)網(wǎng)站上的 9000 多個(gè)路徑。

用了 76 秒確定 Web 服務(wù)器部署了 ColdFusion 的安裝文件和特定 URI，如 /admin.cfm、/login.cfm和 /CFIDE/Administrator/。

三分鐘后，攻擊者利用 ColdFusion 中的一個(gè)目錄遍歷漏洞(CVE-2010-2861)發(fā)起攻擊。該漏洞支持遠(yuǎn)程用戶檢索不公開的 Web 目錄文件，攻擊者請(qǐng)求了名為 password.properties的文件。

接著，攻擊者利用了 ColdFusion 中的另一個(gè)漏洞 CVE-2009-3960，該漏洞允許攻擊者濫用 ColdFusion 的 XML 處理協(xié)議來注入數(shù)據(jù)。利用該漏洞，攻擊者通過 HTTP POST 請(qǐng)求將文件上傳到 ColdFusion 服務(wù)器的 /flex2gateway/amf中。

該文件為一個(gè) WebShell，將參數(shù)傳遞給 Windows 的 cmd.exe 執(zhí)行。

攻擊者從 c:\windows\temp\csa.log到 E:\cf9_final\cfusion\wwwroot\CFIDE\cfa.css寫入以 base64 編碼的 WebShell。

隨后，攻擊者通過 WebShell 將 Cobalt Strike Beacon 加載執(zhí)行。

緊接著，攻擊者用亂碼覆蓋了包含 WebShell 的文件，以阻礙調(diào)查分析。

攻擊者

大約在 62 小時(shí)后，攻擊者就又回來了。使用 Beacon 在失陷主機(jī)上上傳文件并執(zhí)行命令，文件被放入 https://image.3001.net/images/20210925/1632547634_614eb332c7f01c3ab118f.png!small同時(shí)傳遞一組十六進(jìn)制編碼參數(shù)來執(zhí)行。

解碼參數(shù)如下所示：

-IsErIK函數(shù)將拉取新的腳本并進(jìn)行持久化。

幾個(gè)小時(shí)后，攻擊者在名為 cfiut.cfm 的 ColdFusion /CFIDE/ 目錄中放置了第二個(gè) WebShell。利用該 WebShell 導(dǎo)出了許多注冊(cè)表配置并寫入 .png的文件中，然后存儲(chǔ)到可公開訪問的路徑下。

大約在五個(gè)小時(shí)后，攻擊者調(diào)用 WMIC 從白俄羅斯的 IP 地址下載名為 01.css和 02.css的文件。此外，攻擊者還創(chuàng)建了一個(gè)名為 agent$的帳戶，密碼為 P@ssw0rd，并授予其管理員權(quán)限。

隨后，攻擊者配置域管理員權(quán)限，然后進(jìn)行橫向平移分發(fā) Cobalt Strike Beacon。攻擊者禁用 Windows Defender 和其他安全軟件后，發(fā)現(xiàn)該服務(wù)器部署了虛擬機(jī)管理程序，于是關(guān)閉了虛擬機(jī)。

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe Get-VM | % {Stop-VM $_ -TurnOff}

最后，在入侵 ColdFusion 服務(wù)器大約 79 小時(shí)后，攻擊者部署了 Cring 勒索軟件對(duì)數(shù)據(jù)文件進(jìn)行加密。攻擊者刪除了卷影副本，清除了事件日志并重啟了安全軟件。

勒索信息會(huì)顯示在 Windows 登錄屏幕上，而不是作為桌面上的文本文件。