X
广告
首页 > 业界 > 关键词  > 腾讯安全最新资讯  > 正文

腾讯安全捕获YAPI远程代码执行0day漏洞在野利用,该攻击正扩散,可使用防火墙阻截

2021-07-08 19:57 · 稿源: 站长之家用户

一、概述

腾讯主机安全(云镜)捕获YAPI远程代码执行0day漏洞在野利用,该攻击正在扩散。受YAPI远程代码执行0day漏洞影响,从7月第1周开始,未部署任何安全防护系统的失陷云主机数已达数千台。先后出现两次失陷高峰,一次在7月3号,一次在7月7号。BillGates僵尸网络在7月1日首先发起攻击,7月4日Mirai僵尸网络木马攻击的规模更大,已部署腾讯云防火墙的云主机成功防御此轮攻击。

image.png

BillGates僵尸网络与Mirai僵尸网络木马为存在多年十分活跃的僵尸网络家族,这两个僵尸网络家族多用高危漏洞利用做为入侵手段,腾讯安全研究人员发现这两个团伙正在利用YAPI接口管理平台远程代码执行漏洞发起攻击,目前该漏洞暂无补丁,处于0day状态。

YAPI接口管理平台是国内某旅行网站的大前端技术中心开源项目,使用mock数据/脚本作为中间交互层,为前端后台开发与测试人员提供更优雅的接口管理服务,该系统被国内较多知名互联网企业所采用。腾讯安全网络空间测绘数据显示,国内采用YAPI接口管理平台的服务器上万台,主要分布于浙江、北京、上海、广东等省市(占比超过80%)。

image.png

因YAPI远程代码执行0day漏洞暂无补丁,BillGates僵尸网络与Mirai僵尸网络木马家族主要利用受控主机进行DDoS攻击、留置后门或进行挖矿作业。腾讯安全专家建议采用YAPI接口管理平台的政企机构尽快采取以下措施缓解漏洞风险:

部署腾讯云防火墙实时拦截威胁;

关闭Y

API

用户注册功能,以阻断攻击者注册;

删除恶意已注册用户,避免攻击者再次添加mock脚本;

删除恶意mock脚本,防止再被访问触发;

服务器回滚快照,可清除利用漏洞植入的后门。

腾讯安全威胁情报系统已支持自动化输出告警事件详细分析报告,方便安全运维人员获得更丰富的情报信息,以便对告警事件进行回溯处置。

image.png

腾讯安全旗下全系列产品已经支持对YAPI接口管理平台远程代码执行漏洞的利用进行检测防御:

image.png

二、腾讯安全解决方案

BillGates家族与Mirai家族相关威胁数据已加入腾讯安全威胁情报,赋能给腾讯全系列安全产品,企业客户通过订阅腾讯安全威胁情报产品,可以让全网所有安全设备同步具备和腾讯安全产品一致的威胁发现、防御和清除能力。

腾讯安全威胁情报中心检测到利用YAPI接口管理平台远程代码执行漏洞发起的攻击活动已影响数千台未部署任何安全防护产品的云主机,腾讯安全专家建议政企机构公有云系统部署腾讯云防火墙、腾讯主机安全(云镜)等产品检测防御相关威胁。

腾讯云防火墙支持检测拦截利用YAPI接口管理平台远程代码执行漏洞发起的攻击活动。腾讯云防火墙内置虚拟补丁防御机制,可积极防御某些高危且使用率很高的漏洞利用。

image.png

image.png

已部署腾讯主机安全(云镜)的企业客户可以通过高危命令监控发现,腾讯主机安全(云镜)可对攻击过程中产生得木马落地文件进行自动检测,客户可登录腾讯云->主机安全控制台,检查病毒木马告警信息,将恶意木马一键隔离或删除。客户可通过腾讯主机安全的漏洞管理、基线管理功能对网络资产进行安全漏洞检测和弱口令检测。

image.png

私有云客户可通过旁路部署腾讯高级威胁检测系统(NTA、御界)进行流量检测分析,及时发现黑客团伙利用漏洞对企业私有云的攻击活动。腾讯高级威胁检测系统(NTA、御界)可检测到利用YAPI接口管理平台远程代码执行漏洞发起的恶意攻击活动。

image.png

企业客户可通过旁路部署腾讯天幕(NIPS)实时拦截利用YAPI接口管理平台远程代码执行漏洞的网络通信连接,彻底封堵攻击流量。腾讯天幕(NIPS)基于腾讯自研安全算力算法PaaS优势,形成具备万亿级海量样本、毫秒级响应、自动智能、安全可视化等能力的网络边界协同防护体系。

三、YAPI接口管理平台0day漏洞分析

YAPI接口管理平台是某互联网企业大前端技术中心开源项目,使用mock数据/脚本作为中间交互层,为前端后台开发与测试人员提供更优雅的接口管理服务。该平台被国内众多知名互联网企业所采用。

其中mock数据通过设定固定数据返回固定内容,对于需要根据用户请求定制化响应内容的情况mock脚本通过写JS脚本的方式处理用户请求参数返回定制化内容,本次漏洞就是发生在mock脚本服务上。

image.png

由于mock脚本自定义服务未对JS脚本加以命令过滤,用户可以添加任何请求处理脚本,因此可以在脚本中植入命令,等用户访问接口发起请求时触发命令执行。

该漏洞暂无补丁,建议受影响的企业参考以下方案缓解风险:

部署腾讯云防火墙实时拦截威胁;

关闭Y

API

用户注册功能,以阻断攻击者注册;

删除恶意已注册用户,避免攻击者再次添加mock脚本;

删除恶意mock脚本,防止再被访问触发;

服务器回滚快照,可清除利用漏洞植入的后门。

四、详细分析

攻击脚本

攻击者首先注册功能先注册账号,登录账号后才能自定义mock脚本。

image.png

攻击者通过mock脚本中植入恶意命令,待用户访问mock接口发起请求时触发命令执行。

木马文件

7.1号以来主机侧累计利用该漏洞捕获到的木马文件:

image.png

木马文件详细信息:

image.png

本次攻击投递的木马文件未发现新变种,但漏洞利用速度极快7.2号出现攻击事件之后,短短一周已有上千台主机失陷,目前官方尚无补丁可用,受影响的客户需要在主机侧关闭用户注册与脚本添加权限,已失陷主机需尽快回滚服务器快照。

BillGates僵尸网络木马及Mirai僵尸网络木马和以往的版本并无差异,这里不再赘述。

威胁视角看攻击行为

image.png

IOCs

MD5

c303c2fff08565b7977afccb762e2072

56b157ffd5a4b8b26d472395c8d2f7dc

3b904f9bc4f8f504598127ed702c3e1e

URL:

hxxp://2w.kacdn.cn/20000

hxxp://117.24.13.169:881/KaBot

hxxp://117.24.13.169:118/2771

hxxp://117.24.13.169:664/botmm/x86_64

hxxp://66.42.103.186/hang/x86_64

hxxp://27.50.49.61:1231/X64

  • 相关推荐
  • 大家在看
  • 以数据安护航数字政务,腾讯安全荣获数据安三项大奖

    9 月 23 日- 24 日,由中国信息协会主办的 2021 第三届中国电子政务安全大会在北京顺利召开,腾讯安全在本次大会推优评选中摘得“ 2021 中国数据安全领导力企业”、“ 2021 中国数据安全优秀解决方案”、“ 2021 中国数据安全优秀样板工程”三项大奖。“政府数字化转型离不开信息安全的保驾护航,随着网络化、数字化、智能化的日益深入,新的安全挑战将持续存在数字化转型全过程。”中国信息协会副会长吴钰在开幕式中提到,本次大?

  • 国家网络安宣传周圆满落幕 腾讯安全积极参与展现数字时代“安担当”

    网络安全为人民,网络安全靠人民。 10 月 11 日至 17 日, 2021 年国家网络安全宣传周在全国范围内广泛开展。“增强全社会网络安全意识,护航产业发展”也是腾讯安全一直以来的重要工作内容。今年网络安全周,作为互联网安全领先品牌,腾讯安全携多项技术创新成果与实践案例,积极参与到西安、武汉、长沙等全国多地网安周活动中,与各地政府及行业伙伴紧密合作,深入贯彻网络安全宣传周的活动精神,推广网络安全前沿技术,引导群众

  • 共建“短信轰炸”黑产链条治理,腾讯安全验证码能力助力企业免遭黑产利用

    近日,广西壮族自治区来宾市公安局网安支队联合武宣警方,经过近两个月的奋战,成功破获广西首例短信轰炸案件。今年 6 月,来宾市公安局网安支队接到举报,有人在互联网上搭建网站开展短信轰炸、游戏外挂等黑产违法犯罪行为。针对相关线索,在腾讯守护者计划安全团队的协助下,来宾市公安局网安支队通过调查,最终锁定犯罪嫌疑人并实施抓捕行动。经审讯,犯罪嫌疑人卓某健交代其代理短信轰炸(又称“呼死你”)等非法服务,并以发?

  • 双“管”齐下 精准防骗——腾讯安全反欺诈方案亮相2021年国家网络安宣传周

    2021 年国家网络安全宣传周网络安全博览会于 10 月 8 日在西安国际会展中心正式启动。本届宣传周,以“网络安全为人民,网络安全靠人民”为主题,展示了网络安全领域的重大成就,以及网络安全前沿技术、新型产品等。腾讯安全作为主要参展单位,现场以安全“护航舰”的展台装置创意,为观众带来六大产品方案的沉浸式体验效果。其中,以呈现腾讯手机管家&电脑管家双管联动15. 0 版本的“管理站”,基于当下电信网络诈骗问题,首次打?

  • 腾讯安全发布《APP隐私合规白皮书》,助力企业移动应用隐私合规

    近年来,随着互联网技术在全球的飞速发展,人类社会已被裹挟进“大数据”时代,个人信息安全问题也成为全社会关注的议题。随着《个人信息保护法》(草案)、《数据安全法》等一系列法律法规对于个人信息保护的规范,用户隐私保护也正式提上企业发展议程。近日,腾讯安全正式发布《灵鲲APP隐私合规产品白皮书》(以下简称《白皮书》),报告就数字化浪潮下,企业面临的数据安全与用户隐私安全外部环境和现实困难展开了讨论,并介绍?

  • 腾讯安全亮相2021年国家网络安宣传周 筑牢产业数字化升级安底座

    金秋长安,网安国安。 10 月 8 日,为期 7 天的 2021 年国家网络安全宣传周网络安全博览会(以下简称“博览会”)在西安国际会展中心正式拉开序幕。作为互联网安全领先品牌,以及本届宣传周的主要参展单位,腾讯安全将继续向社会各界展示其护航 18 大行业、助力上万家企业客户安全上云的实践成果。据了解,网络安全宣传周一直以来聚焦网络安全领域热点,通过网络安全实验、典型案例曝光等形式,宣传网络安全知识,提升社会网络安全

  • 蔚来NIO Day 2021定档12月18日 届时有望发布新车型

    据了解,自2017年开始,蔚来保持着每年举办一次NIO Day的传统,此前几次举办城市分别是北京、上海、深圳、成都;而且每届NIO Day除了是车友大聚会以外,蔚来也会公布一些新规划、产品信息。

  • 微信突然向国外搜索引擎开放!腾讯火速回应:系统出现漏洞 已修复

    前不久,工信部等部门纷纷要求国内各平台进一步开放,接触外链屏蔽等机制,令用户使用更加方便,比如微信中直接打开淘宝等等。随着时间的推进,目前腾讯、阿里巴巴、字节跳动等各平台直接的屏蔽已经逐渐解除。今天下午,有报道称腾讯已经开始在搜索引擎放开搜索限制,其中指出微信公众号等内容已经能在谷歌、必应等国外搜索引擎直接查找,并打开浏览,但是国内的百度依然不能实现,令人疑惑。此事一时间也在网络上引发大量关注,其

  • 苹果仍在调查iOS15中未修复的安全漏洞

    据外媒appleinsider报道称,苹果公司回应了一名安全研究人员,该研究人员声称苹果公司忽略了他的几份漏洞报告,并表示它仍在调查这些问题。

  • 苹果“仍在调查”iOS 15中未修补的三个安全漏洞

    9 月初,安全研究员 Denis Tokarev 撰写了一篇博文,其中无奈地吐槽了与苹果漏洞赏金计划的一些互动。事情源于通过 Bug Nounty Program 向苹果提交的四个安全漏洞,然而等待许久之后,他发现只有一个得到了修复。最新消息是,苹果已就此事给出了回应,声称其“仍在调查”相关问题。Tokarev 在接受 Motherboard 采访时称,在早前推出的 iOS 15 更新中,其它三个漏洞未能得到及时修复。现在,苹果方面已就延迟沟通致歉,并补充说明该

这篇文章对你有价值吗?

  • 热门标签