Náložová útok "" pokračuje, během něhož neznámí útočníci ničí data v veřejně přístupných nezabezpečených instalacích Elasticsearch a MongoDB. Byly zaznamenány jednotlivé případy vymazání (celkově asi 3 % ze všech obětí) také pro nezabezpečené databáze založené na Apache Cassandra, CouchDB, Redis, Hadoop a Apache ZooKeeper. Útok se provádí prostřednictvím bota, který prochází standardními síťovými porty databázových systémů. Zkoumání útoku na podvrženém honeypot serveru ukázalo, že připojení bota přes ProtonVPN. Pokud 22. července bylo zaznamenáno asi 1000 vzdálených databází, pak 23. července počet zasažených systémů vzrostl na přibližně 2500, a včera dosáhl 3800, ale dnes klesl na 3750.
Příčinou problémů je otevření veřejného přístupu k databázím bez řádného nastavení autentizace. Chybně nebo nedbalostí se zpracovatel požadavků připojuje nikoli k vnitřní adrese 127.0.0.1 (localhost), ale ke všem síťovým rozhraním, včetně externího. V MongoDB toto chování podporuje příklad nastavení nabízených ve výchozím nastavení, a v Elasticsearch do vydání v bezplatné verzi vůbec nebyly podporovány prostředky pro členění přístupu.
Významná s poskytovatelem VPN UFO, u kterého byla zjištěna veřejně přístupná databáze Elasticsearch o velikosti 894 GB. Poskytovatel se prezentoval jako ten, kdo se stará o soukromí uživatelů a nevede logy. Oproti tvrzení ve vyložené databázi byly přítomny logy obsahující informace o IP adresách, přiřazení sezení k času, značkách o lokaci uživatele, informacích o operačním systému a zařízení uživatele, seznamu domén pro reklamu v nezabezpečeném HTTP provozu. Navíc v databázi byly přístupové hesla v otevřené podobě a sezení klíče, které umožňovaly dešifrovat zachycené relace.
Poskytovatel UFO byl o problému informován 1. července, ale po dva týdny zpráva zůstávala bez odpovědi a 14. července byla zaslána další žádost hostingovému poskytovateli, po které byla 15. července databáze zabezpečena. 20. července se tato databáze znovu objevila veřejně přístupná na jiném IP. Během několika hodin byla téměř všechna data v databázi smazána. Analýza tohoto vymazání ukázala, že je spojena s masivním prováděným útokem, který dostal název Meow podle názvu indexů, které byly v databázi ponechány po vymazání. Vyhledávání prostřednictvím služby Shodan , že obětmi odstranění se stalo také několik set serverů. Aktuálně se počet odstraněných databází blíží 4000.
Zdroj: opennet.ru
