Black Hat Europe 2025 | From Live Exploitation to Zero-Day Discovery: Investigating Attacks on Gogs

這次事件的起點是 Wiz 威脅研究員 Yara Shwiki 每日例行查看 YARA 規則警報時，在 7 月 15 日收到一筆命中「Go Garble」偵測規則的告警。她與惡意軟體研究員 Gilad Kochinski 一起檢視客戶雲端伺服器，確認機器已被植入惡意軟體。兩人依照標準流程逐一排除 SSH 預設憑證、系統錯誤設定、所有已公開 CVE 的 PoC，但全部落空。伺服器上安裝的 Gogs 已是當時最新版本（6 月 9 日釋出），理論上所有已知漏洞都應已修補，卻仍有惡意軟體。

為了回答「惡意軟體怎麼進來的」，研究員深入 Gogs 的 Explore 頁面，發現大量隨機八字元的倉庫與使用者名稱，每個倉庫只包含一個指向 `.gitconfig` 的 symbolic link。這個發現讓他們重新審視舊 CVE，鎖定兩個關鍵：一是 put contents API 的路徑穿越漏洞（已修補，加入路徑驗證）；二是 Web UI 編輯器對 symlink 的任意覆寫漏洞（修補僅套用在前端 UI，從未套用到底層 API）。兩者結合就產生了一條新攻擊路徑：攻擊者先提交一個 symlink 指向 `.git/config`，再透過 put contents API 覆寫該檔案的 `core.sshCommand` 欄位，當 Gogs 伺服器下次需要存取倉庫時便會執行攻擊者指定的任意命令，完整實現 RCE。由於 Gogs 預設開放帳號註冊，這條攻擊鏈對任何曝露在網際網路的伺服器幾乎零門檻。

確認漏洞成立後，研究員轉向評估受害規模。Shodan 搜尋顯示全球約 1,500 台 Gogs 實例對外曝露；他們根據「隨機八字元倉庫名稱且集中時間建立」這個行為特徵寫了一支 Python 腳本進行掃描，結果找到超過 700 台伺服器呈現相同模式。進一步檢查 `.gitconfig` 內容後，C2 伺服器地址、SSH command 覆寫內容、惡意軟體雜湊值三者皆完全一致，指向同一個威脅行為者。惡意軟體本體是以 Go Garble 混淆並經 UPX 壓縮的 ELF 檔，解包與解混淆後找到的字串指向開源 C2 框架 SuperShell，而 VirusTotal 上已有人回報含有 `superShell compiled download gogs` 的 URL，進一步佐證這是針對 Gogs 的專屬活動。從攻擊者行為模式——大規模機會性掃描、不刻意清理痕跡、使用已知財務動機框架——研究員推斷這是一個以經濟利益為目的的網路犯罪組織，而非國家級 APT。

從調查到向 Gogs 維護者回報，整個過程只花了兩天。然而截至演講當天，官方修補尚未釋出，11 月更記錄到第二波攻擊，代表這個零時差漏洞仍在野外積極被利用。研究員總結三個教訓：第一，將惡意軟體發現與伺服器上的技術元件快速連結，能大幅縮短調查路徑；第二，找到症狀（惡意軟體）後必須繼續追根究柢，才能發現更大的問題；第三，任何足夠獨特的行為模式都應被文件化為行為型 IOC，以應對傳統靜態指標（IP、雜湊、憑證）在現代攻擊中快速失效的現實。

---