দুর্বল এক্সিম-ভিত্তিক মেল সার্ভারে বাল্ক আক্রমণ

সাইবারেজন নিরাপত্তা গবেষকরা সতর্ক করা শোষণকারী একটি বিশাল স্বয়ংক্রিয় আক্রমণের সনাক্তকরণ সম্পর্কে মেল সার্ভারের প্রশাসকরা সমালোচনামূলক দুর্বলতা (CVE-2019-10149) এক্সিমে, গত সপ্তাহে শনাক্ত করা হয়েছে। আক্রমণের সময়, আক্রমণকারীরা তাদের কোডটি রুট হিসাবে কার্যকর করে এবং ক্রিপ্টোকারেন্সি খনির জন্য সার্ভারে ম্যালওয়্যার ইনস্টল করে।

জুন স্বয়ংক্রিয় জরিপ এক্সিম এর শেয়ার 57.05% (এক বছর আগে 56.56%), পোস্টফিক্স 34.52% (33.79%) মেল সার্ভারে ব্যবহৃত হয়, সেন্ডমেইল - 4.05% (4.59%), মাইক্রোসফ্ট এক্সচেঞ্জ - 0.57% (0.85%)। দ্বারা উপাত্ত শোডান পরিষেবার, গ্লোবাল নেটওয়ার্কে 3.6 মিলিয়নেরও বেশি মেল সার্ভারগুলি সম্ভাব্যভাবে অরক্ষিত, যেগুলি Exim 4.92-এর সর্বশেষ বর্তমান রিলিজে আপডেট করা হয়নি। প্রায় 2 মিলিয়ন সম্ভাব্য ঝুঁকিপূর্ণ সার্ভার মার্কিন যুক্তরাষ্ট্রে অবস্থিত, রাশিয়ায় 192 হাজার। দ্বারা তথ্য RiskIQ ইতিমধ্যেই 4.92% এক্সিম সার্ভার 70 সংস্করণে আপগ্রেড করেছে।

প্রশাসকদের জরুরীভাবে আপডেটগুলি ইনস্টল করার পরামর্শ দেওয়া হচ্ছে যা গত সপ্তাহে বিতরণ দ্বারা প্রস্তুত করা হয়েছিল (ডেবিয়ান, উবুন্টু, openSUSE- এর, আর্কিটেকচার লিনাক্স, ফেডোরা, RHEL/CentOS এর জন্য EPEL) সিস্টেমে যদি Exim-এর একটি দুর্বল সংস্করণ থাকে (4.87 থেকে 4.91 সমেত), তাহলে আপনাকে নিশ্চিত করতে হবে যে সিস্টেমটি ইতিমধ্যেই সন্দেহজনক কলের জন্য ক্রনট্যাব চেক করে আপোস করেনি এবং নিশ্চিত করতে হবে যে /root/-এ কোনো অতিরিক্ত কী নেই। ssh ডিরেক্টরি। হোস্ট an7kmd2wp4xo7hpr.tor2web.su, an7kmd2wp4xo7hpr.tor2web.io এবং an7kmd2wp4xo7hpr.onion.sh, যেগুলি ওয়্যার ডাউনলোড প্রক্রিয়ার সময় ব্যবহার করা হয়, থেকে কার্যকলাপের ফায়ারওয়াল লগে উপস্থিতি দ্বারাও একটি আক্রমণকে নির্দেশ করা যেতে পারে৷

এক্সিম সার্ভারে প্রথম আক্রমণ স্থির ৯ই জুন। 9 জুন আক্রমণ গৃহীত ভর চরিত্র tor2web গেটওয়ের মাধ্যমে দুর্বলতাকে কাজে লাগানোর পর, Tor লুকানো পরিষেবা (an7kmd2wp4xo7hpr) থেকে একটি স্ক্রিপ্ট লোড করা হয় যা OpenSSH-এর উপস্থিতি পরীক্ষা করে (যদি না হয়) সেট), এর সেটিংস পরিবর্তন করে (অনুমতি রুট লগইন এবং কী প্রমাণীকরণ) এবং রুট ব্যবহারকারীকে সেট করে RSA কীA যেটি SSH এর মাধ্যমে সিস্টেমে সুবিধাপ্রাপ্ত অ্যাক্সেস প্রদান করে।

একটি ব্যাকডোর সেট আপ করার পরে, অন্যান্য দুর্বল সার্ভার সনাক্ত করতে সিস্টেমে একটি পোর্ট স্ক্যানার ইনস্টল করা হয়। এটি বিদ্যমান খনির সিস্টেমগুলির জন্য সিস্টেম অনুসন্ধান করে, যা সনাক্ত করা হলে মুছে ফেলা হয়। শেষ পর্যায়ে, আপনার নিজের খনি লোড করা হয় এবং ক্রনট্যাবে নিবন্ধিত হয়। মাইনারটি একটি ico ফাইলের ছদ্মবেশে ডাউনলোড করা হয় (আসলে, এটি একটি "নো-পাসওয়ার্ড" পাসওয়ার্ড সহ একটি জিপ সংরক্ষণাগার), যা Glibc 2.7+ সহ লিনাক্সের জন্য ELF ফর্ম্যাটে একটি এক্সিকিউটেবল ফাইল প্যাক করে।

উত্স: opennet.ru