【科讯】Weblogic高危漏洞再次被利用 腾讯电脑管家展开全面防御

本篇文章1222字，读完约3分钟

最近，腾讯智能安全御见威胁信息中心的监视显示，非法黑客利用weblogic的反序列化漏洞入侵公司服务器，下载开采特洛伊木马real.exe进行开采，机械资源消耗严重，日常业务运营 另外，非法黑客取得服务器控制权时，窃取服务器数据，以服务器为踏板侵入内部网，利用服务器攻击其他计算机，在服务器下载病毒执行，完全破坏服务器数据等一部分

weblogic是美国oracle企业提供的基于javaee体系结构的中间件，开发、集成大规模分布式web应用程序、互联网应用程序和数据库应用程序， 一种主要用于和管理的java应用服务器，通过将java的动态功能和java enterprise标准安全部署到大型互联网应用程序的开发、集成、部署和管理中，将网站的

有趣的是，weblogic有一些高危漏洞。 最近宣布的weblogic反序列化远程命令执行漏洞( cve--2893 )和weblogic任意文件植入漏洞( cve--2894 )。 。 其中cve--2893是以前的cve--2628的旁路，历史上weblogic的漏洞修复基本上是基于黑名单的修复，一旦发现该修复方法，新的攻击利用链就会被旁路。

(图: real.exe特洛伊木马的工作原理)

腾讯安全技术人员表示，非法黑客利用weblogic的反序列化漏洞成功入侵后，将执行远程脚本，进一步提取和运行downloader特洛伊木马real.exe。 作为隐蔽性极高的downloader木马，real.exe是用python制作后，用包装工具包装生成的exe，隐蔽性极高。 然后，该特洛伊木马运行main.exe、sun.exe、she.exe等工具，维持启动项目，检测是否存在矿山机械进程，如果没有执行，则再次提取矿山机构的协作程序。

现在，非法黑客利用weblogic的反序列化漏洞攻击了约1万台服务器，至今使用weblogic架构的web应用服务器中约三分之一仍无法及时修复漏洞。 腾讯御见威胁情报中心的监视显示，该特洛伊木马自7月以来总体呈上升趋势，其中北上广三个地区受灾程度位居前三，其他地区也在某种程度上分布。

(图:传播趋势和地区分布)

由于weblogic高危漏洞被非法黑客入侵，特洛伊木马病毒不断变化的犯罪方法很难被顾客注意到。 另外，结合最近频发的网络安全，非法黑客为了实现自己的非法利益，正在寻找更隐蔽高效的传达方法。

对此，腾讯安全反病毒实验室负责人、腾讯电脑管家安全专家马劲松警告广大服务器管理员，可以通过t3协议的访问控制，设置访问白名单。 此外，oracle官方在7月份的重要补丁更新中修复了这一漏洞。 对于受影响的客户，我们建议您尽快升级和保护更新。

(图:腾讯公司级安全产品的控制点)

另外，马劲松建议设立公司相关的安全监督管理部门，制定相关应对措施，优先采用终端杀毒软件，增强防御方案的完整性和立体性，在受到攻击时更有效地处理问题，将公司损失降到最低