企業(yè)和辦事供給商收集安然和治理解決方案領(lǐng)先供給商Arbor Networks指出，比來的一次步履開端于2013年5月底，步履名稱為“Fort Disco”。
兩大年夜僵尸收集正在利用或?qū)柿烁黝悆?nèi)容治理系統(tǒng)，包含很是風行的WordPress博客平臺和Joomla網(wǎng)站平臺。企業(yè)和辦事供給商收集安然和治理解決方案領(lǐng)先供給商Arbor Networks指出，比來的一次步履開端于2013年5月底，步履名稱為“Fort Disco”。 Arbor公司已發(fā)現(xiàn)了6個號令與節(jié)制辦事器，在超越25，000臺受傳染的Windows機械上運行，這些機械被用來不竭測驗測驗暗碼組合來暴力報復打擊CMSs。
僵尸系統(tǒng)網(wǎng)站對準CMSs
迄今為止，有6，000多臺安裝了WordPress博客平臺、Joomla網(wǎng)站平臺和Datalife Engine商業(yè)CMS系統(tǒng)的機械遭到了風險。Arbor深切理解此次步履的意義，因為在“Fort Disco”步履以后留下了一些可以公開獲得的日記文件。雖然存在這方面忽視，僵尸系統(tǒng)主網(wǎng)站仍是利用了一些半智能歹意軟件來回避窺伺。
他們起碼利用了4種歹意軟件，這些軟件會接管指令并把重點放在方針網(wǎng)站，此中包含5，000到10，000個之間的一個時候變量列表。另外一條指令會奉告軟件該利用甚么暗碼，有時還會對暗碼供給統(tǒng)一資本定位器(URL)。僵尸系統(tǒng)主網(wǎng)站將獲得成功不法闖進的返回陳述。
在788個案例中，方針網(wǎng)站上被安裝了PHP文件后門，承諾報復打擊者瀏覽文件系統(tǒng)、上傳或下載文件和在受傳染的辦事器上履行號令。Arbor公司的Matthew Bing說道：“經(jīng)由過程向受害站點上傳PHP shell腳本，報復打擊者可以垂手可得地向千萬個受害網(wǎng)站發(fā)布指令?！?/P>
在一些網(wǎng)站上，有一個重定向器向用戶發(fā)送Styx透代碼東西包。Arbor公司覺得，報復打擊者正在吸納CMSs和博客平臺為僵尸收集的一部門為將來的報復打擊做預備。
Arbor公司覺得，侵進者的總部在蘇聯(lián)國度。大年夜大都方針網(wǎng)站都設(shè)在俄羅斯或烏克蘭境內(nèi)，而所有的批示節(jié)制網(wǎng)站都在這兩個國度。歹意軟件一開端是如何侵進到機械傍邊的，這仍然是個未解之謎?！拔覀兛梢曰蛟S看出，歹意軟件原始文件名(maykl_lyuis_bolshaya_igra_na_ponizhenie.exe)的含義與Michael Lewis俄文版的書《以大年夜見?。耗┤諜C械》有關(guān)，該文件帶有可履行的附件。”
“另外一個文件名(proxycap_crack.exe)指的是ProxyCap法度的分裂。今朝尚不清晰受害者是不是曾被勾引運行這些文件。假定是的話，這就是獨一的傳染路子。關(guān)于傳染機理，C&C 網(wǎng)站并未供給任何附加的線索?！?/P>
趨勢科技(Trend Micro)公司警告說，不計其數(shù)以WordPress博客平臺、Drupal系統(tǒng)、Joomla網(wǎng)站平臺為根本的受害網(wǎng)站正在成為濫發(fā)垃圾郵件的僵尸網(wǎng)站的一部門。受害網(wǎng)站包含有效載荷鏈接和垃圾郵件腳本，并發(fā)送給用戶以傳播歹意軟件。
趨勢科技公司覺得，有195，000域和IP地址遭到傳染，變成StealRat垃圾郵件僵尸網(wǎng)路的一部門。該公司在本周頒發(fā)的博客中說道：“這些受害網(wǎng)站的共同點是它們都利用脆弱的CMS運行軟件?！?/P>