九游老哥云
Weblogic WLS组件误差攻击使用预警
2017-12-22
一. 预警摘要
近期，九游老哥科技应急响应团队陆续接到来自金融、运营商、互联网等多个行业客户的清静事务反响，发明多台差别版本WebLogic主机均被植入了相同的恶意程序，该程序会消耗大宗的主机CPU资源。
经剖析，攻击者针对WebLogic WLS组件中保存的CVE-2017-10271远程代码执行误差，结构请求对运行的WebLogic中心件主机举行攻击，由于该误差使用方法简朴，且能够直接获取目的服务器的控制权限，影响规模较广，近期发明此误差的使用方法为撒播虚拟币挖矿程序，不扫除会被黑客用于其他目的的攻击。
Oracle官方网站在10月份的更新补丁中对此误差举行了修复，建议企业做好清静防护步伐，并实时修复，镌汰因此误差造成的损失。官方修复详情参考如下链接：
http://www.oracle.com/technetwork/security-advisory/cpuoct2017-3236626.html
二. 清静防护
由于攻击者使用的是WebLogic wls组件举行的攻击，当WebLogic控制台对公网开放且未实时升级清静补丁的话，就会保存被使用的危害。
2.1 官方升级计划
Oracle官方关于WebLogic WLS 组件误差(CVE-2017-10271)在10月份的更新补丁中已经举行了修复，建议实时下载更新包，并升级WebLogic。升级历程可参考如下链接：
http://blog.csdn.net/qqlifu/article/details/49423839
2.2 暂时防护建议
凭证攻击者使用POC剖析发明所使用的为wls-wsat组件的CoordinatorPortType接口，若Weblogic服务器集群中未应用此组件，建议暂时备份后将此组件删除，当形成防护能力后，再举行恢复。
1. 凭证现真相形路径，删除WebLogic wls-wsat组件：
2. 重启Weblogic域控制器服务。
关于重启Weblogic服务的详细信息，可参考如下官方文档：
https://docs.oracle.com/cd/E13222_01/wls/docs90/server_start/overview.html
2.3 产品防护计划
2.3.1 WAF防护计划
安排有九游老哥科技WAF的用户可通过自界说规则的方法用来实时防护WebLogic WLS组件远程代码执行误差，自界说规则如下：
设置效果如下图所示：
2.3.2 NIPS防护计划
安排有九游老哥科技NIPS/NIDS的用户，可通过自界说规则，形成对WebLogic WLS组件远程代码执行误差使用的检测和防护。设置信息如下表所示：
三. 熏染主机排查
由于此次攻击主要目的为下载执行挖矿程序，从主机层面可通过监控主机系统资源或历程剖析方法举行检测，从网络层面可对C&C地点及矿池相关域名/IP举行监控，以发明其他受熏染主机。
