23万网站被骇客挟持，因管理者未修补的RCE与任意档案上传漏洞惹祸！使用WordPress、Joomla、Drupal的网站都要注意

近年来许多僵尸网络攻击锁定物联网装置，但这次骇客下手的目标，是采用内容管理平台（CMS）的网站。近期网页应用程序防火墙业者Imperva，揭露一个自2019年11月出现的僵尸网络KashmirBlack，骇客锁定多款知名的网站内容管理系统下手，攻击的范围遍及30个国家，而其中大部分的目标仍是美国网站。

骇客控制了这些网站服务器后，有些他们植入挖矿软件XMRig，滥用这些网站服务器来挖取门罗币，有些则是用发送垃圾信，以及窜改网页（Defacement）等。Imperva甚至发现，骇客运用部分受害主机来当做僵尸网络的基础架构。

为了研究僵尸网络KashmirBlack的攻击手法，Imperva在密罐建置了网站来吸引它们发动攻击，结果其中1个被窜改成如图中的钓鱼网页。

根据他们的分析，骇客攻击的目标并非锁定单一网站内容管理系统，而是至少有9种，包含WordPress、Joomla、PrestaShop、Magneto、Drupal、Vbulletin、OsCommerence、OpenCart，以及Yeager等，骇客利用它们的漏洞来进一步控制网站服务器。研究人员指出，由于许多采用内容管理系统的网站缺乏维护，不会即时安装官方推出的修补程式，虽然骇客利用的漏洞不少极为老旧，但还是奏效。

这个僵尸网络运用了那些漏洞呢？根据Imperva列出的17项漏洞来看，不少漏洞允许攻击者远端执行任意程式码（RCE），或者是与上传任意档案有关。再者，有些漏洞则是能让骇客透过暴力破解密码，以及指令注入等。而这些漏洞不少存在已久，甚至有的超过10年以上。例如，单元测试工具PHPUnit的RCE漏洞CVE-2017-9841，虽然它在2017年才被列管，但实际上存在超过10年之久。

究竟有多少网站遭到这个僵尸网络摆布？研究人员指出，他们看到KashmirBlack有285个机器人，每个机器人单日发动攻击的对象，平均为240台主机（或是3,450个网站）不等。如果有1%的主机被攻陷，那么每天就有700个主机成为受害者。换言之，从这个僵尸网络运作近11个月，迄今保守估计至少有23万个网站成为受害者。然而，Imperva指出，他们追踪到的机器人IP地址，应该不是全部，实际受害的网站数量，恐怕远大于上述数字。

对于幕后操控KashmirBlack的骇客，研究人员透过IP地址寻线追查，认为是印尼骇客组织PhantomGhost所为。

再者，为了藏匿攻击行动，他们也看到骇客滥用常见的公有云服务，包含了GitHub、Dropbox，以及Pastebin等，目的要能向已感染的服务器下达额外指令，而不被资安防护系统发现。