黑客利用 Atlassian Confluence 漏洞部署 Ljl 后門進行間諜活動

據稱，威脅參與者“極有可能”利用過時的 Atlassian Confluence 服務器中的安全漏洞，針對研究和技術服務領域的一個未具名組織部署了一個前所未有的后門。

這次攻擊在 5 月底持續了 7 天，被網絡安全公司 Deepwatch 追蹤為TAC-040的威脅活動集群。

“證據表明，攻擊者使用 Atlassian 的 Confluence 目錄中的 tomcat9.exe 父進程執行了惡意命令，”該公司表示。“在最初的妥協之后，威脅參與者運行了各種命令來枚舉本地系統、網絡和 Active Directory 環境。”

疑似被利用的 Atlassian 漏洞是CVE-2022-26134，這是一種對象圖導航語言 (OGNL) 注入漏洞，它為在 Confluence 服務器或數據中心實例上執行任意代碼鋪平了道路。

據報道，在現實世界的攻擊中被積極利用，這家澳大利亞公司于 2022 年 6 月 4 日解決了這個問題。

但鑒于沒有取證工具，Deepwatch 推測該漏洞可能需要利用 Spring4Shell 漏洞 ( CVE-2022-22965 ) 來獲得對 Confluence Web 應用程序的初始訪問權限。

除了敵對團體的目標可能與間諜活動有關之外，對 TAC-040 知之甚少，盡管該組織可能出于經濟利益而采取行動的可能性并未被排除，理由是存在裝載機系統上的 XMRig 加密礦工。

雖然沒有證據表明該礦工在此事件中被處決，但威脅參與者擁有的門羅幣地址通過劫持其他系統的計算資源來非法開采加密貨幣，至少凈賺了 652 XMR（106,000 美元）。

該攻擊鏈還因在受感染的服務器上部署了一個名為 Ljl Backdoor 的先前未記錄的植入物而引人注目。根據對網絡日志的分析，在受害者使服務器脫機之前，估計大約有 700MB 的存檔數據已被泄露。

就其本身而言，該惡意軟件是一種功能齊全的特洛伊木馬病毒，旨在收集文件和用戶帳戶、加載任意 .NET 有效負載并收集系統信息以及受害者的地理位置。

“受害者通過使服務器離線，拒絕了威脅行為者在環境中橫向移動的能力，這可能會阻止其他敏感數據的泄露并限制威脅行為者進行進一步惡意活動的能力。”