最近发现的Gitpaste-12 蠕虫通过GitHub传播，并且还在Pastebin上托管了恶意有效载荷，这种蠕虫已经以更多漏洞利用了。
Gitpaste-12的第一版具有反向外壳和加密挖掘功能，并利用了12个已知漏洞，因此被称为绰号。
这次，先进的蠕虫和僵尸网络已经返回了30多个漏洞。
针对Linux，Android工具和IoT设备
Juniper Threat Labs的研究人员于2020年11月10日观察到Gitpaste-12的第二次迭代，该迭代存在于另一个GitHub存储库中。
新版本的Gitpaste-12在其前身的基础上进行了扩展，配备了30多个漏洞利用程序，涉及Linux系统，IoT设备和开源组件。
最初，研究人员观察到了仅包含3个文件的新GitHub存储库。
“攻击浪潮使用了另一个GitHub存储库中的有效负载，该存储库包含Linux加密矿工（’ls’），暴力破解尝试的密码列表（’pass’）和未知来源的静态链接的Python 3.9解释器，”瞻博网络威胁实验室的研究员Asher Langton解释说。
来源：Juniper
但是，后来，在Juniper进行研究时，Gitpaste-12作者将另外两个文件添加到了存储库中。
其中包括用于Monero cryptominer的配置文件（“ config.json”），以及UPX打包的Linux特权升级漏洞。
config.json文件中包含的Monero地址与今年10月发布的Gitpaste-12迭代中观察到的地址相同：41qALJpqLhUNCHZTMSMQyf4LQotae9MZnb4u53JzqvHEWyc2i8PEFUCZ4TGL9AGU34ihPU8QGbRzc4FB2nHMsVeMHaYkxus
在下图所示的示例中，初始感染始于Gitpaste-12示例，该示例从GitHub下载有效负载，并删除了一个cryptominer，以及被感染主机上的后门。
该蠕虫会进一步传播自己，以攻击Web应用程序，Android Debug Bridge连接和IoT设备（包括IP摄像机和路由器）。
进行31种漏洞利用：24种独特漏洞利用
Langton解释说，较新版本的Gitpaste-12具有“至少31个已知漏洞（在以前的Gitpaste-12示例中也看到了7个漏洞），以及试图破坏开放的Android Debug Bridge连接和现有恶意软件后门的漏洞”。 。
研究人员提供的漏洞利用清单包括：
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-1871
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-3313
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-8361
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-17215
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-17562
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-11511
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-10758
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-11447
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-19509
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-5902
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-8816
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-10987
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-17463
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-17496
https://www.exploit-db.com/exploits/37474
https://www.exploit-db.com/exploits/40500
https://www.exploit-db.com/exploits/45135
https://www.exploit-db.com/exploits/45161
https://www.exploit-db.com/exploits/46542
https://www.exploit-db.com/exploits/48225
https://www.exploit-db.com/exploits/48358
https://www.exploit-db.com/exploits/48676
https://www.exploit-db.com/exploits/48734
https://www.exploit-db.com/exploits/48737
https://www.exploit-db.com/exploits/48743
https://www.exploit-db.com/exploits/48751
https://www.exploit-db.com/exploits/48758
https://www.exploit-db.com/exploits/48771
https://www.exploit-db.com/exploits/48775
https://www.exploit-db.com/exploits/48805
https://www.exploit-db.com/exploits/48827
这些漏洞利用中的一些与流行的开源应用程序有关，例如 JBoss Seam 2， CutePHP， mongo-express， Pi-hole和 FuelCMS。
蠕虫会将诸如vBulletin之类的著名专有Web应用程序 作为目标。
除了利用这些漏洞之外， 捆绑在Gitpaste-12中的X10-unix蠕虫还攻击了在端口5555上运行的Android调试桥（adb）应用程序，从而将恶意的本机二进制文件（“ blu”）和APK上传到Android设备。
复杂的APK在安装时会将设备的IP地址发布到Pastebin，然后进一步下载恶意负载。
根据研究人员的说法，Gitpaste-12的这种迭代已经危害了至少100个不同的宿主。
“虽然很难确定此恶意软件活动的广度或有效性，部分原因是Monero（与比特币不同）没有公开可追踪的交易，[Juniper Threat Labs]可以确认已观察到一百多个不同的主机在传播感染，”研究人员说。
Gitpaste-12的这一演变版本在最初的10月发行之后不久就浮出水面。
我们尚未发现在不久的将来是否还会有此攻击的更高级版本。
完整的研究发现和Gitpaste-12危害指标（IOC）列表可在Juniper Threat Labs的博客文章中找到。
*编译：Domino
*来自：bleepingcomputer