Наскоро разкритата критична уязвимост, засягаща Apache ActiveMQ,  активно се експлоатира от заплахи, за да разпространява нов ботнет, базиран на Go, наречен GoTitan, както и програма на .NET, известна като PrCtrl Rat, която е способна да командва дистанционно заразените хостове.

Атаките включват експлоатиране на бъг за изпълнение на отдалечен код (CVE-2023-46604, CVSS оценка: 10.0), който е бил на вооръжение при  различни хакерски групировки, включително групата Lazarus, през последните седмици.

След успешно проникване, заплахите са наблюдавани да изпускат вторични носители от отдалечен сървър, един от които е GoTitan, ботнет, предназначен за организиране на разпределени атаки за отказ на услуга (DDoS) чрез протоколи като HTTP, UDP, TCP и TLS.

„Атакуващият предоставя само бинарни файлове за x64 архитектури, а зловредния софтуер извършва някои проверки преди да се стартира,“ каза изследователят от Fortinet Fortiguard Labs Кара Лин в анализ, направен във вторник.

„Той също създава файл, наречен ‘c.log’, който записва времето на изпълнение и статуса на програмата. Този файл изглежда да е дебъг лог за разработчика, което предполага, че GoTitan все още е в ранен етап на развитие.“

Fortinet заяви, че също така е наблюдавала случаи, при които уязвимите сървъри на Apache ActiveMQ се насочват към разпространение на друг ботнет за DDoS, наречен Ddostf, зловреден софтуер Kinsing за криптомайнинг и рамката за команден контрол (C2) Sliver.

Друг значим зловреден софтуер, който се изпраща, е троянец за отдалечен достъп, наречен PrCtrl Rat, който установява връзка с C2 сървър, за да получи допълнителни команди за изпълнение върху системата, за да извлече файлове и за да изтегля и качва файлове от и към сървъра.

„Към момента на публикуване на информацията, ние все още не сме получили никакви съобщения от сървъра, а мотивът зад разпространението на този инструмент остава неясен,“ каза Лин. „Въпреки това, веднъж когато той проникне в потребителската среда, отдалеченият сървър придобива контрол над системата.“