锁定Linux服务器与IoT装置的新僵尸蠕虫Gitpaste-12现身

网通设备业者Juniper旗下的威胁实验室近日揭露了一个新的僵尸蠕虫Gitpaste-12，指称该病毒目前锁定基于Linux的x86服务器，以及基于Linux ARM与MIPS的IoT装置展开攻击，Gitpaste-12的名称来自于它同时借由合法的GitHub与Pastebin网站来代管元件，且迄今至少已有12种不同的攻击模组问世。

根据该威胁实验室的调查，Gitpaste-12利用11个已知漏洞及Telnet暴力破解进行散布与感染，它们多数为路由器漏洞，也有Struts及Mongo漏洞，还具备蠕虫的复制及感染能力。

一但成功入侵系统，Gitpaste-12就会设定一个自Pastebin下载的排程（cron job），以平均每分钟一次的频率呼叫并执行脚本程式，并于攻击行动中上传一个主要的介壳脚本程式至受害者系统上以下载及执行其它的cron job元件，继之再至GitHub下载并执行shadu1脚本程式。

至此，Gitpaste-12的行为都是用来部署攻击环境，例如shadu1便是用来关闭系统上的各种安全功能，从防火墙规定，Linux安全模组SELinux与AppArmor，一直到常见的攻击预防及监控软件等。此外，shadu1脚本程式中的注解都是以简体中文撰写。

该实验室所发现的其中一个攻击案例是关闭了云端安全机制，显示它主要是用来攻击由阿里云及腾讯所提供的公有云端运算基础设施，其它能力还包括执行门罗币的挖矿任务。

Juniper威胁实验室是在今年的10月15日发现Gitpaste-12，旋即通报Pastebin与GitHub，相关的URL及储存库都已在10月30日被关闭，暂时阻止了Gitpaste-12僵尸网络的扩散。