Im Rahmen des Meow-Angriffs wurden etwa 4000 öffentliche Datenbanken von Elasticsearch und MongoDB gelöscht.

Die Angriffe von „Meow“ nehmen weiter zu, wobei unbekannte Angreifer Daten in öffentlich zugänglichen, ungeschützten Installationen von Elasticsearch und MongoDB zerstören. Einzelne Fälle von Datenlöschungen (insgesamt etwa 3% aller Opfer) wurden auch für ungeschützte Datenbanken auf Basis von Apache Cassandra, CouchDB, Redis, Hadoop und Apache ZooKeeper festgestellt. Der Angriff erfolgt über einen Bot, der gängige Netzwerk-Ports von DBMS abklopft. Die Analyse des Angriffs auf einem gefälschten Honeypot-Server zeigte, dass sich der Bot erfolgt über ProtonVPN verbindet. Während am 22. Juli etwa 1000 entfernte Datenbanken dokumentiert wurden, stieg die Zahl der betroffenen Systeme stieg auf etwa 2500, und gestern die wurde die Marke von 3800 erreicht, heute fiel sie jedoch auf 3750.

Ursache für die Probleme ist die unzureichende Absicherung von Datenbanken durch die gewählte öffentliche Zugänglichkeit ohne korrekte Authentifizierungseinstellungen. Aus Versehen oder Nachlässigkeit wird der Anfrage-Handler nicht an die interne Adresse 127.0.0.1 (localhost) gebunden, sondern an alle Netzwerk-Schnittstellen, einschließlich der externen. In MongoDB fördert dies ein Beispiel für die standardmäßigen Einrichtungseinstellungen, während in Elasticsearch bis zur Veröffentlichung 6.8 in der kostenlosen Version überhaupt keine Zugriffskontrollmittel unterstützt wurden.

Beeindruckend Historie ist der Fall mit dem VPN-Anbieter UFO, bei dem eine öffentlich zugängliche Elasticsearch-Datenbank von 894 GB entdeckt wurde. Der Anbieter positionierte sich als sorgsam mit der Privatsphäre der Benutzer und führte keine Protokolle. Entgegen dieser Aussage fanden sich in der aufgedeckten Datenbank Protokolle, die Informationen zu IP-Adressen, Zeitstempeln für Sitzungsbindungen, Benutzerstandorte, Betriebssystem- und Gerätedaten sowie Listen von Domains für die Einfügung von Werbung in ungesicherten HTTP-Traffic enthielten. Darüber hinaus waren in der Datenbank Zugangspasswörter im Klartext und Sitzungsschlüssel vorhanden, die die Entschlüsselung abgefangener Sitzungen ermöglichten.

Der Anbieter UFO wurde am 1. Juli über das Problem informiert, aber zwei Wochen lang blieb die Mitteilung unbeantwortet und am 14. Juli wurde eine weitere Anfrage an den Hosting-Anbieter gesendet, woraufhin die Datenbank am 15. Juli gesichert wurde. Am 20. Juli tauchte diese Datenbank erneut öffentlich auf einem anderen IP auf. Innerhalb weniger Stunden wurden fast alle Daten in der Datenbank gelöscht. Die Analyse dieser Löschung zeigte, dass sie mit einem großangelegten Angriff in Verbindung stand, der den Namen Meow trägt, basierend auf den Indizes, die nach der Löschung in der Datenbank hinterlassen wurden. Die Suche über den Shodan-Dienst zeigte, dass auch mehrere hundert Server Opfer der Löschung wurden. Die Anzahl der entfernten Datenbanken nähert sich jetzt der Marke von 4000.

Quelle: opennet.ru