استفاده از آسیب پذیری های Oracle WebLogic برای mine کردن

به تازگی گروه هکری Water Sigbin با اکسپلویت کردن آسیب پذیری هایی با کد شناسایی CVE-2017-3506 و CVE-2023-21839 که مربوط به Oracle WebLogic می باشند. بدافزارهایی را برای mine کردن بر روی سرورهای آسیب پذیر نصب نموده اند. حمله به این صورت اجرا می شود که ابتدا به واسطه اکسپلویت آسیب پذیری ها ، کد پاورشلی به نام bin.ps1 اجرا می شود که باعث می شود فایلی به نام wireguard2-3.exe دانلود شود که خودش را به جای یک VPN application قانونی جا می زند. سپس این فایل exe باعث لود شدن فایل dll ای به نام (Zxpus.dll) با روش dll injection می شود و در نهایت هم بدافزار و ماینر اصلی به نام PureCrypter اجرا می شود.