One Article Review
| Source |  RiskIQ |
|---|---|
| Identifiant | 8487003 |
| Date de publication | 2024-04-22 19:02:33 (vue: 2024-04-22 20:08:27) |
| Titre | Botnets Continue Exploiting CVE-2023-1389 for Wide-Scale Spread |
| Texte | ## Instantané
Des botnets tels que Moobot, Miori, AgoEnt et Gafgyt Variant exploitent la vulnérabilité CVE-2023-1389, qui a été divulguée l'année dernière.La vulnérabilité est une vulnérabilité d'injection de commande non authentifiée dans l'API «Locale» disponible via l'interface de gestion Web du TP-Link Archer AX21 (AX1800).
## Description
Plusieurs botnets, dont Moobot, Miroi, Agoent, et la variante Gafgyt, ont été observés en exploitant cette vulnérabilité.Chaque botnet utilise des méthodes uniques d'infection et d'attaque, avec Agoant et la variante Gafgyt ciblant les architectures basées sur Linux pour lancer des attaques DDOS, tandis que Moobot initie les attaques DDOS sur les IPs distants après avoir récupéré des fichiers ELF à partir d'une URL spécifique.L'infiltration initiale se produit par la vulnérabilité d'injection de commande non authentifiée dans l'API "Locale", permettant aux attaquants d'atteindre l'injection de commandement en manipulant la forme "pays" et en "écriture".
## Les références
[https://www.fortinet.com/blog/thereat-research/botnets-continue-exploiting-cve-2023-1389-for-wide-scale-spreadmenace-research / botnets-continue-exploitant-cve-2023-1389 pour l'échelle de l'échelle)
## Snapshot Botnets such as Moobot, Miori, AGoent, and Gafgyt Variant are exploiting the CVE-2023-1389 vulnerability, which was disclosed last year. The vulnerability is an unauthenticated command injection vulnerability in the “locale” API available via the web management interface of the TP-Link Archer AX21 (AX1800). ## Description Multiple botnets, including Moobot, Miroi, AGoent, and the Gafgyt Variant, have been observed exploiting this vulnerability. Each botnet employs unique methods of infection and attack, with AGoent and the Gafgyt Variant targeting Linux-based architectures to launch DDoS attacks, while Moobot initiates DDoS attacks on remote IPs after retrieving ELF files from a specific URL. The initial infiltration occurs through the unauthenticated command injection vulnerability in the "locale" API, allowing attackers to achieve command injection by manipulating the "country" form and "write" operation. ## References [https://www.fortinet.com/blog/threat-research/botnets-continue-exploiting-cve-2023-1389-for-wide-scale-spread](https://www.fortinet.com/blog/threat-research/botnets-continue-exploiting-cve-2023-1389-for-wide-scale-spread) |
| Envoyé | Oui |
| Condensat | 1389 2023 achieve after agoent allowing api archer architectures areexploiting attack attackers attacks available ax1800 ax21 based been botnet botnets com/blog/threat command continue country cve ddos description disclosed each elf employs exploiting files form fortinet from gafgyt have https://www including infection infiltration initial initiates injection interface ips last launch link linux locale management manipulating methods miori miroi moobot multiple observed occurs operation references remote research/botnets retrieving scale snapshot specific spread such targeting through unauthenticated unique url variant vulnerability web which wide write year “locale” |
| Tags | Vulnerability |
| Stories | |
| Notes | ★★★ |
| Move | 
|
L'article ne semble pas avoir été repris aprés sa publication.
L'article ne semble pas avoir été repris sur un précédent.