Confluence服务器被黑客部署AvosLocker、Cerber2021勒索软件

近期，勒索软件团伙瞄准了一个远程代码执行 (RCE) 漏洞，该漏洞影响会Atlassian Confluence服务器和数据中心。如果成功利用此OGNL注入漏洞 (CVE-2022-26134)，未经身份验证的攻击者可以通过创建新管理员帐户和执行任意代码远程接管未修复补丁的服务器。虽然该漏洞被暴露后Atlassian也及时做出响应，但因其概念验证漏洞也一并被泄露到了网上，这就导致很多黑客都可以利用该漏洞，目前多个僵尸网络和威胁参与者在野外积极利用它来部署加密恶意软件。

瑞士网络威胁情报公司Prodaft的研究人员发现AvosLocker勒索软件分支机构已经加入了这一行列。他们瞄准并入侵暴露在互联网上的未打补丁的Confluence服务器“以大规模系统地感染多个受害者。AvosLocker的命令和控制服务器的截图表明了威胁行为者已经对Confluence下手了。

在采访中，Prodaft 表示通过在各种网络上执行大规模扫描，AvosLocker 威胁参与者正搜索用于运行Atlassian Confluence系统的易受攻击的机器。且AvosLocker 已经成功感染了来自全球不同地区的多个企业，包括但不限于美国、欧洲和澳大利亚。

还被很多受害者表示，Cerber2021勒索软件(也称为CerberImposter)也在积极利用Confluence CVE-2022-26134漏洞。ID-Ransomware的创建者Michael Gillespie说，被识别为CerberImposter的提交文件包括加密的Confluence配置文件，这表明Confluence实例正在被加密。且CVE-2022-26134 POC漏洞的发布与Cerber勒索软件攻击成功次数的增加同时发生。

微软周五晚上还证实，他们已经看到Confluence服务器被利用来安装Cerber2021勒索软件。Cerber此前曾于2021年12月使用CVE-2021-26084漏洞攻击全球范围内的Confluence 服务器，该漏洞允许未经身份验证的攻击者在易受攻击的系统上远程执行代码。网络安全公司Volexity上周将CVE-2022-26134归为一个被积极利用的零日漏洞，CISA还命令联邦机构通过阻止其网络上Confluence服务器的所有互联网流量来缓解该漏洞。在漏洞信息发布一天后，Atlassian发布了安全更新并敦促其客户及时更新补丁以阻止持续的攻击发生。