DanaBleed新漏洞使 DanaBot惡意軟件即服務(wù)平臺浮出水面

在2022年6月更新的DanaBot惡意軟件操作中引入的最新漏洞，導(dǎo)致其在最近的執(zhí)法行動(dòng)中被識別并拆解了他們的操作。

DanaBot是一個(gè)從2018年到2025年活躍的惡意軟件即服務(wù)（MaaS）平臺，用于銀行欺詐、憑證盜竊、遠(yuǎn)程訪問和分布式拒絕服務(wù)（DDoS）攻擊。

Zscaler的ThreatLabz研究人員發(fā)現(xiàn)了這個(gè)被稱為“DanaBleed”的漏洞，他們解釋說，內(nèi)存泄漏使他們能夠深入了解惡意軟件的內(nèi)部操作和幕后黑手。

利用該漏洞收集有關(guān)網(wǎng)絡(luò)犯罪分子的寶貴情報(bào)，一項(xiàng)名為Operation Endgame的國際執(zhí)法行動(dòng)使DanaBot基礎(chǔ)設(shè)施下線，并起訴了該威脅組織的16名成員。

DanaBleed漏洞

DanaBleed漏洞是在2022年6月隨DataBot 2380版本引入的，該版本新增了一個(gè)命令和控制（C2）協(xié)議。

新協(xié)議邏輯中的一個(gè)弱點(diǎn)是生成C2服務(wù)器對客戶機(jī)的響應(yīng)的機(jī)制，該機(jī)制應(yīng)該包含隨機(jī)生成的填充字節(jié)，但沒有為這些字節(jié)初始化新分配的內(nèi)存。

Zscaler研究人員收集并分析了大量C2響應(yīng)，由于內(nèi)存泄漏錯(cuò)誤，這些響應(yīng)包含來自服務(wù)器內(nèi)存的剩余數(shù)據(jù)片段。

這次暴露類似于2014年發(fā)現(xiàn)的HeartBleed問題，影響了無處不在的OpenSSL軟件。隨著時(shí)間的推移，DanaBleed向研究人員提供了大量私人數(shù)據(jù)，包括：

·威脅參與者詳細(xì)信息（用戶名、IP地址）

·后端基礎(chǔ)設(shè)施（C2服務(wù)器ip /域）

·受害者數(shù)據(jù)（IP地址、憑據(jù)、泄露信息）

·惡意軟件的更新日志

·私有密碼密鑰

·SQL查詢和調(diào)試日志

·C2控制面板的HTML和網(wǎng)頁界面片段

在三年多的時(shí)間里，DanaBot一直以一種受攻擊的模式運(yùn)行，而其開發(fā)人員或客戶卻沒有意識到他們被暴露給了安全研究人員。這使得當(dāng)執(zhí)法部門收集到足夠的數(shù)據(jù)時(shí)便能一擊即中。

C2服務(wù)器響應(yīng)中泄露的HTML數(shù)據(jù)

雖然DanaBot在俄羅斯的核心團(tuán)隊(duì)只是被起訴而沒有被逮捕，但關(guān)鍵的C2服務(wù)器、650個(gè)域名和近400萬美元的加密貨幣被扣押已經(jīng)有效地消除了目前的威脅。即使威脅者在未來試圖重返網(wǎng)絡(luò)犯罪活動(dòng)，但其黑客社區(qū)信任度的下降也將是他們面臨的一個(gè)重大障礙。

參考及來源：https://www.bleepingcomputer.com/news/security/danabot-malware-operators-exposed-via-c2-bug-added-in-2022/