HackerNews 编译，转载请注明出处：
网络安全公司Darktrace在2025年4月的事件响应中发现，攻击者利用SAP NetWeaver高危漏洞CVE-2025-31324，对美国某化工企业部署Linux后门病毒Auto-Color。调查显示该恶意软件已升级新型规避技术。
此次攻击始于4月25日，活跃利用发生在27日，攻击者向目标设备植入ELF可执行文件。Auto-Color最初由Palo Alto Networks Unit 42团队于2025年2月记录，其具备高隐蔽性且难以根除。该后门根据运行权限动态调整行为模式，通过劫持”ld.so.preload”实现共享库注入式持久化驻留。
Auto-Color具备任意命令执行、文件篡改、反向shell远程控制、流量代理转发及动态配置更新能力，其根模块可隐藏恶意活动痕迹。Unit 42此前未能确定该病毒针对北美和亚洲政府及高校的初始感染途径。
Darktrace最新研究证实，攻击者通过NetWeaver漏洞实现未授权上传恶意二进制文件并执行远程代码。SAP已于2025年4月发布补丁，但ReliaQuest、Onapsis等机构监测到漏洞修复数日后即出现大规模利用尝试。
除初始攻击途径外，Darktrace还发现Auto-Color新增规避机制：当无法连接硬编码C2服务器时，恶意程序将抑制多数恶意行为。在沙箱或隔离环境中，该特性使病毒呈现良性特征。”若C2服务器不可达，Auto-Color会暂停完整恶意功能加载，使分析人员误判其无害性，”Darktrace解释称，”该机制有效阻碍逆向工程人员揭露其载荷、凭证窃取及持久化技术”。此特性在原Unit 42披露的权限感知逻辑、无害文件名伪装、libc函数劫持、伪造日志目录等技术基础上再次升级。
鉴于Auto-Color正积极利用该漏洞，管理员需立即应用SAP客户公告中的安全更新或缓解措施。
消息来源：bleepingcomputer；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
转载请注明“转自 HackerNews.cc”并附上原文
