CISA和FBI联合警告：Androxgh0st恶意软件正在创建大型僵尸网络
内容提要
美国联邦调查局和网络安全与基础设施安全局发布联合公告，警告名为Androxgh0st的恶意软件正在创建强大的僵尸网络，用于窃取凭证和滥用SMTP功能。CISA已将该漏洞添加到已知利用漏洞目录中，需要在2月6日之前修补。网络安全专家建议用户定期检查和监控云环境是否存在暴露，并制定带外修补策略。
延伸解读
漏洞利用与修复时限
Androxgh0st利用Laravel框架的CVE-2018-15133漏洞进行攻击，CISA已将该漏洞加入已知利用漏洞目录，要求美国联邦民事机构在2月6日前完成修补。这一时限凸显了漏洞的严重性，其他组织也应尽快检查自身Laravel应用是否暴露，并优先修复。
凭证窃取与云环境风险
该恶意软件会搜索.env文件，这类文件常存储AWS、Office 365等主流应用的凭证和令牌。一旦得手，攻击者可能滥用这些凭证访问云服务，进行加密劫持、垃圾邮件等活动。因此，定期检查和监控云环境是否存在暴露的凭证至关重要。
防御建议：带外修补与持续监控
专家建议制定带外修补策略，即不依赖常规更新周期，及时应对紧急漏洞。同时，持续监控云环境中的异常活动，如未经授权的API调用或Web shell部署，有助于早期发现Androxgh0st的入侵迹象，减少横向移动和持久化风险。
Q&A
Androxgh0st恶意软件最早是什么时候被发现的？
Androxgh0st恶意软件最早可追溯到2022年12月，当时Lacework的研究人员发现该恶意软件被用于窃取各种凭证。
Androxgh0st恶意软件主要攻击哪些应用或服务？
该恶意软件主要窃取来自主流应用的凭证，例如Amazon Web Services、Microsoft Office 365、SendGrid和Twilio。
Androxgh0st恶意软件如何利用Laravel框架漏洞进行攻击？
该恶意软件会搜索使用Laravel框架的网站，并尝试确定包含凭证的文件（如.env文件）是否暴露，利用的漏洞被追踪为CVE-2018-15133。
CISA对Androxgh0st利用的漏洞提出了什么修补要求？
CISA于1月16日将CVE-2018-15133添加到已知利用漏洞目录中，并要求美国联邦民事机构必须在2月6日之前对其进行修补。
Androxgh0st僵尸网络有哪些主要恶意用途？
该僵尸网络被用于加密劫持、垃圾邮件或恶意电子邮件活动，并利用Web应用程序中未修补的漏洞进行横向移动，通过创建帐户和提升权限来维持持久性。
网络安全专家对防御Androxgh0st攻击有什么建议？
专家建议用户定期检查和监控云环境是否存在任何暴露，并制定带外修补策略。
