Im Zuge des Meow-Angriffs wurden etwa 4000 öffentlich zugängliche Datenbanken von Elasticsearch und MongoDB gelöscht.

Die Angriffswelle „Meow“ setzt sich fort, wobei unbekannte Angreifer Daten in öffentlich zugänglichen, ungesicherten Installationen von Elasticsearch und MongoDB löschen. Einzelne Fälle der Datenvernichtung (insgesamt etwa 3 % aller Opfer) wurden ebenfalls bei ungesicherten Datenbanken auf Basis von Apache Cassandra, CouchDB, Redis, Hadoop und Apache ZooKeeper festgestellt. Der Angriff erfolgt über einen Bot, der eine Liste typischer Netzwerkports von Datenbanksystemen abarbeitet. Die Untersuchung des Angriffs auf einem honeypot-Server wurde durchgeführt, der zeigten, dass sich der Bot wird über ProtonVPN verbindet. Während am 22. Juli etwa 1000 entfernte Datenbanken betroffen waren, stieg die Anzahl der befallenen Systeme am 23. Juli auf etwa 2500, und gestern die von erreichte sie 3800, fiel aber heute auf 3750 zurück.

Die Ursache für die Probleme liegt darin, dass öffentlicher Zugang zu den Datenbanken ohne angemessene Authentifizierung gewährt wird. Durch einen Fehler oder Nachlässigkeit wird der Anfrage-Handler nicht an die interne Adresse 127.0.0.1 (localhost) gebunden, sondern an alle Netzwerkinterfaces, einschließlich der externen. In MongoDB begünstigt ein Beispiel für die standardmäßigen Einstellungen dieses Verhalten, während in Elasticsearch in der kostenlosen Version 6.8 Zugriffskontrollinstrumente überhaupt nicht unterstützt wurden.

Auffällig Geschichte bei dem VPN-Anbieter UFO wurde eine öffentlich zugängliche Elasticsearch-Datenbank mit einer Größe von 894 GB entdeckt. Der Anbieter positionierte sich als Anbieter, der Wert auf den Datenschutz seiner Nutzer legt und keine Logs führt. Trotz dieser Aussage fanden sich in der aufgetauchten Datenbank Logs, die Informationen zu IP-Adressen, die Zuordnung von Sitzungen zu bestimmten Zeiten, Standortinformationen des Nutzers, Informationen über das Betriebssystem und Gerät des Nutzers sowie Listen von Domains zur Einblendung von Werbung im ungeschützten HTTP-Verkehr enthielten. Darüber hinaus waren in der Datenbank Passwörter im Klartext und Sitzungsschlüssel vorhanden, die es ermöglichten, abgefangene Sitzungen zu entschlüsseln.

Der Anbieter UFO wurde am 1. Juli über das Problem informiert, aber zwei Wochen blieb die Nachricht unbeantwortet, und am 14. Juli wurde eine weitere Anfrage an den Hosting-Anbieter gesendet, woraufhin am 15. Juli die Datenbank gesichert wurde. Am 20. Juli war dieselbe Datenbank erneut unter einer anderen IP öffentlich zugänglich. Innerhalb weniger Stunden wurden fast alle Daten in der Datenbank gelöscht. Die Analyse dieser Löschung ergab, dass sie mit einem massiven Angriff in Verbindung steht, der den Namen Meow erhalten hat, benannt nach den Indizes, die nach der Löschung in der Datenbank hinterlassen wurden. Eine Suche über den Shodan-Dienst ergab, dass auch mehrere Hundert weitere Server von der Löschung betroffen waren. Die Anzahl der gelöschten Datenbanken nähert sich mittlerweile der Marke von 4000.

Quelle: opennet.ru