C0XMO僵尸网络利用DD-WRT路由器漏洞传播恶意软件

Rhinoer
Rhinoer

犀牛安全

2026年6月11日 00:00
北京

在小说阅读器读本章

去阅读

Gafgyt 僵尸网络的一个新变种 C0XMO 正在攻击 DD-WRT 路由器固件，并且可以转移到具有各种 CPU 架构的其他设备类型。

研究人员发现了针对 ARM、MIPS、PowerPC、SuperH、x86、x86\_64 和其他架构的样本，其中包含针对 DVR、路由器、视频管理平台和基于 Android 的设备的漏洞利用程序。

该僵尸网络被发现以一家日本科技公司为目标，但研究人员发现其源 IP 地址指向位于德国的一台设备。

Fortinet 的研究人员发现了 C0XMO，并强调了其模块化设计，该设计允许运营商更新其攻击技术、添加/删除目标架构，并独立于主要有效载荷扩展其横向移动能力。

从根本上讲，C0XMO 仍然是一种用于发起分布式拒绝服务 (DDoS) 攻击的恶意软件，支持 19 种攻击方法，包括 UDP/TCP/SYN/ICMP 洪水攻击、“死亡之 ping”攻击、NTP/Memcached 放大攻击、Discord 语音 UDP 洪水攻击和 Valve 特定洪水攻击。

研究人员表示，C0XMO僵尸网络恶意软件利用CVE-2021-27137漏洞传播，该漏洞是一个由用户输入不足引起的缓冲区溢出漏洞。攻击者无需身份验证即可利用该漏洞，并执行任意代码。Gafgyt扫描仪

为了更广泛地分发，C0XMO 下载了一个 Python 脚本，该脚本安装了诸如“requests”、“paramiko”和“beautifulsoup4”之类的附加软件包，这些软件包是网络扫描和通信以及通过 SSH 和 telnet 协议运行活动所必需的。

然后，扫描器使用工作线程随机扫描面向互联网的系统，扫描常用端口，例如 22 (SSH)、23 (Telnet)、80/443 (HTTP/HTTPS)、7547、8080、8443、8888 等。

找到目标后，该恶意软件会尝试暴力破解弱 Telnet 和 SSH 凭据，检测 CPU 架构，并部署兼容的 C0XMO 二进制文件。

该脚本包含近二十个函数，用于执行各种任务，例如扫描、利用基于 HTTP 和 ADB 的漏洞、检测 CPU 架构、SSH/Telenet 登录以及检查 IP 地址。其主要目的是在网络中横向移动。

一旦恶意软件获得设备访问权限，它就会将自身复制到诸如“/tmp/.sys”、“/var/tmp/.sys”和“/dev/shm/.sys”之类的隐藏位置，然后创建定时任务，每15分钟重新启动一次。此外，它还会修改shell启动文件以启用自动执行。

此外，C0XMO 还会主动扫描正在运行的进程，以识别主机上的竞争对手僵尸网络客户端，以及可能干扰其运行的红队工具、编程工具和网络服务，并将其终止。

它通过删除二进制文件并移除其持久化机制来实现这一点，包括 cron 作业、初始化脚本、系统服务和 shell 配置文件条目。

之后，它使用包含魔术字符串和共享密钥的自定义多阶段握手连接到硬编码的命令与控制 (C2) 地址，然后等待命令。

支持的命令包括心跳检查、启动和停止扫描，以及使用 19 种支持的方法之一发起 DDoS 攻击。

针对 C0XMO 和其他僵尸网络恶意软件的一般防御建议是：保持设备更新，使用唯一的管理员凭据，并在不需要时禁用远程访问功能。

Fortinet 将 C0XMO 描述为“与早期的物联网僵尸网络相比，具有更先进的架构和功能集”。

研究人员指出，该恶意软件的整体设计表明“其操作的复杂性和精细程度高于典型的 Gafgyt 恶意软件”。

信息来源：BleepingComputer