攻击者利用三年前的 Telerik 漏洞部署 Cobalt Strike
我要评论
据BleepingComputer网站6月15日消息 ，攻击一个被称为“Blue Mockingbird”的用年攻击者针对 Telerik UI 漏洞来破坏服务器 ，安装 Cobalt Strike 信标 ，洞部并通过劫持系统资源来挖掘 Monero 。攻击
攻击者利用的用年漏洞是 CVE-2019-18935 ，这是洞部一个严重的反序列化漏洞 ，CVSS v3.1评分高达 9.8 ，攻击可导致在 Telerik UI 库中远程执行 ASP.NET AJAX 的建站模板用年代码 。
在2020年5月 ，洞部Blue Mockingbird就曾使用同样的攻击手法攻击Microsoft IIS 服务器，而此时距供应商提供安全更新已经过去了一年 ，用年可见该漏洞已被该攻击者反复利用 ，洞部屡试不爽 。攻击
要利用 CVE-2019-18935漏洞 ，用年攻击者必须获得保护目标上Telerik UI序列化的洞部加密密钥 ，这可通过利用目标 Web 应用程序中的另一个漏洞或使用 CVE-2017-11317 和 CVE-2017-11357 来实现 。高防服务器一旦获得密钥 ，攻击者就可以编译一个恶意 DLL ，其中包含要在反序列化期间执行的代码 ，并在“w3wp.exe”进程的上下文中运行 。
Blue Mockingbird 最近的攻击链
在由网络安全公司Sophos最近发现的这起攻击事件中 ，Blue Mockingbird采用了一个现成的概念验证（PoC）漏洞 ，能够处理加密逻辑并自动进行DLL编译 ，模板下载其使用的有效载荷是 Cobalt Strike 信标 ，这是一种隐蔽的 、合法的渗透测试工具， Blue Mockingbird 以此滥用来执行编码的 PowerShell 命令 。
Cobalt Strike 信标配置
为了实现持久性，攻击者通过 Active Directory 组策略对象 (GPO) 建立 ，服务器租用它创建计划任务 ，该计划任务写入包含 base64 编码的 PowerShell 的新注册表项中 。
该脚本使用常见的 AMSI 绕过技术来规避 Windows Defender 检测 ，以将 Cobalt Strike DLL 下载并加载到内存中 。
第二阶段的可执行文件（crby26td.exe）是一个 XMRig Miner ，一个标准的开源加密货币矿工 ，源码库用于挖掘 Monero，这是最难追踪的加密货币之一 。
Cobalt Strike 的部署为在受感染的网络内轻松横向移动 、进行数据泄露 、帐户接管以及部署更强大的有效负载（如勒索软件）开辟了道路 。
参考来源 ：https://www.bleepingcomputer.com/news/security/hackers-exploit-three-year-old-telerik-flaws-to-deploy-cobalt-strike/
相关文章
家庭安全系统、扫地机器人、健身追踪器、智能灯泡等物联网设备以及介于两者之间的一切设备旨在使用户的生活更轻松、更高效。为了实现这种便利性，用户必须输入数据通常是个人数据）来帮助这些设备正常运行，这有时可2025-12-07
随着社交平台的不断发展，蒲公英平台作为新兴社交平台之一，正逐渐受到越来越多人的关注和喜爱。本篇文章将带领大家深入了解蒲公英平台的使用教程，从而让你能够轻松掌握这个平台的功能与技巧，提升你在其中的使用体2025-12-07
U盘装Win10系统教程（轻松操作，成功安装Win10系统的全面指南）
随着技术的不断发展，许多人选择自行安装操作系统来满足个性化需求。本文将为大家提供一份详细的教程，教你如何通过U盘来安装Windows10操作系统。无论是升级旧系统还是更换全新系统，都能轻松操作、成功安2025-12-07
努比亚Z9边缘滑动手势开启方法。努比亚Z9边缘滑动手势是一个非常个性快捷的功能。我们可以在边缘滑动打开启动应用或者切换后台应用。下面一起来看下努比亚Z9边缘滑动手势开启方法。 打开努比亚2025-12-07
近日，美国国家标准与技术研究院NIST发布了网络安全框架CSF）的2.0版本，这是该框架在2014年正式发布之后，首次进行的重大更新。NIST表示：这次更新旨在帮助更多类型的组织管理和降低网络安全风险2025-12-07
hosts文件以前小编以为只有电脑才有呢，没想到手机也有hosts文件了，下面我来为各位介绍Android修改hosts文件的方法介绍 有朋友问Android怎么修改Hosts?对于这个2025-12-07
最新评论