Under angrebet Meow blev cirka 4000 offentligt tilgængelige Elasticsearch- og MongoDB-databaser fjernet

Angrebet «Meow» fortsætter med at vinde frem, hvor ukendte angribere ødelægger data i offentligt tilgængelige ubeskyttede installationer af Elasticsearch og MongoDB. Enkelte tilfælde af sletning (i alt ca. 3 % af alle ofre) er også blevet registreret for ubeskyttede databaser baseret på Apache Cassandra, CouchDB, Redis, Hadoop og Apache ZooKeeper. Angrebet udføres gennem en bot, der scanner typiske netværksporte for databasesystemer. Undersøgelsen af angrebet på en falsk honeypot-server viste, at opkoblingen til bot udføres skete via ProtonVPN. Hvis der den 22. juli blev registreret omkring 1000 fjernede databaser, så steg antallet af berørte systemer øgedes til cirka 2500 den 23. juli, og i går overskredet nåede det op på 3800, men er faldet til 3750 i dag.

Årsagen til problemerne er, at offentlig adgang til databaserne er blevet åbnet uden ordentlig autentifikationskonfiguration. Ved en fejl eller uforsigtighed tilknyttes anmodningsbehandleren ikke til den interne adresse 127.0.0.1 (localhost), men til alle netværksgrænseflader, inklusive den eksterne. I MongoDB fremmes en sådan adfærd af eksempler på standardindstillinger, og i Elasticsearch blev adgangsbegrænsningsmidler slet ikke understøttet i den gratis version. 6.8 Bemærkelsesværdig

er historien om VPN-udbyderen UFO, der havde en offentligt tilgængelig Elasticsearch-database på 894 GB. Udbyderen præsenterede sig selv som en, der tager hensyn til brugernes privatliv og ikke fører logfiler. På trods af denne påstand indeholdt den eksponerede database logfiler, der inkluderede oplysninger om IP-adresser, sessioner knyttet til tid, placeringstags, oplysninger om operativsystemet og brugerens enhed, samt lister over domæner til reklamesubstitution i usikret HTTP-trafik. Endda var der adgangskoder i klartekst og sessionstokens, der muliggør dekryptering af opsnappede sessioner i databasen. UFO-udbyderen blev informeret om problemet den 1. juli, men to uger forblev meddelelsen ubesvarede, og den 14. juli blev der sendt en anden anmodning til hostingudbyderen, hvorefter databasen blev beskyttet den 15. juli. Den 20. juli dukkede denne database igen op offentligt tilgængeligt på en anden IP. På blot få timer blev næsten alle data i databasen slettet. Undersøgelsen af denne sletning viste, at det var relateret til et massivt angreb, der fik navnet Meow efter navnet på de indekser, der blev efterladt i databasen efter sletningen. Søgningen via Shodan

Провайдер UFO был информирован о проблеме 1 июля, но две недели сообщение оставалось без ответа и 14 июля был направлен другой запрос хостинг-провайдеру, после чего 15 июля БД была защищена. 20 июля данная БД снова всплыла в публичном доступе на другом IP. Через считанные часы почти все данные в БД были удалены. Разбор данного удаления показал, что оно связано с массово проводимой атакой, получившей имя Meow по названию индексов, оставляемых в БД после удаления. Поиск через сервис Shodan hvordan det er let at få et EV-certifikat i navnet "Stripe, Inc" (et populært betalingssystem) blot ved at registrere et selskab med samme navn i en anden stat. For at opdage forskellen skal man under alle omstændigheder se nærmere på detaljer om hjemmesiden - oplysninger fra adresselinjen er ikke tilstrækkelige. En anden forsker, James Burton, fik et certifikat i navnet på sit registrerede selskab "Identity Verified", hvilket også let kan forvirre brugerne., at offer of deletion also several hundred servers were affected. Currently, the number of deleted databases is approaching 4000.

Kilde: opennet.ru