На прошлой неделе компания Oracle выпустила рекордный по объему набор исправлений, устранив сразу 334 бага в своих продуктах. Более 200 из этих проблем можно было эксплуатировать удаленно.
Теперь ИБ-эксперты сообщают, что одна из этих уязвимостей, CVE-2018-2893, уже используется как минимум двумя преступными группами. Данный баг был классифицирован как критический и набрал 9,8 баллов из 10 по шкале CVSv3. Он позволяет, не зная пароля, перехватить контроль над сервером Oracle WebLogic. Уязвимыми являются Oracle WebLogic версий 10.3.6.0, 12.1.3.0, 12.2.1.2 и 12.2.1.3.
Детали этой проблемы не были известны вплоть до 18 июля 2018 года, то есть вплоть до дня выхода патча. Однако уже несколько дней спустя в сети появились proof-of-concept эксплоиты. Журналисты Bleeping Computer пишут, что им известно о существовании как минимум трех эксплоитов, причем два из них до сих пор лежат в открытом доступе (1, 2). Третий был удален с GitHub самим автором вскоре после публикации.
Появление эксплоитов не осталось незамеченным. Уже 21 июля 2018 года специалисты ISC SANS и Qihoo 360 Netlab обнаружили первые попытки атак на свежую уязвимость. В настоящее время исследователи отслеживают как минимум две хакерские группы, взявшие эксплоиты для CVE-2018-2893 на вооружение.
Известно, что одна из группировок использовала в качестве управляющего сервера luoxkexp[.]com. Аналитики Qihoo 360 пишут, что этот домен был зарегистрирован еще в марте текущего года, и уже использовался группой, которую специалисты называют luoxk. Группировка занимается DDoS-атаками, распространяет RAT-троянов, майнеры, вредоносные APK для Android и так далее. При помощи свежего эксплоита для Oracle WebLogic злоумышленники распространяют майнер XMRig (для добычи криптовалюты Monero) и DDoS-вредоноса Bill Gates.
В свою очередь эксперты ISC SANS отмечают, что другая группировка эксплуатирует уязвимость с целью установки бэкдоров на скомпрометированные серверы.
Исследователи предупреждают, что эксплоиты преступников нацелены на порт 7001, поэтому администраторам настоятельно рекомендуется блокировать внешний доступ к этому порту до установки исправлений.
