Massiivne rünnak haavatavatele Eximi põhinevatele meiliserveritele

Kyberturbe uurijad Cybereasonist hoiatavad postiserverite administraatoritele suure ulatusega automatiseeritud rünnaku tuvastamisest, mis kasutab ära kriitilist haavatavust (CVE-2019-10149) Eximis, mis tuvastati eelmisel nädalal. Rünnaku käigus suudavad kurjategijad käivitada oma koodi root-õigustega ja installida serverisse krüptovaluuta kaevandussoftware.

Juunikuu automatiseeritud küsitlusest Eximi osakaal on 57,05% (aasta tagasi 56,56%), Postfixi kasutatakse 34,52% (33,79%) postiserveritest, Sendmail — 4,05% (4,59%), Microsoft Exchange — 0,57% (0,85%). andmete Shodani teenusest on potentsiaalselt haavatavaid üle 3,6 miljoni postiserveri, mis ei ole uuendatud viimasele versioonile Exim 4.92. Umbes 2 miljonit potentsiaalselt haavatavat serverit asuvad Ameerikas, 192 tuhat Venemaal. RiskIQ andmetel on 70% Exim-serveritest juba läinud versioonile 4.92. teave Serverite administraatoritele soovitatakse kiiresti installida uuendusi, mis olid juba eelmisel nädalal ette valmistatud

(EPEL RHEL/CentOS jaoksDebian, Ubuntu, openSUSE, Arch Linux, Fedora, ). Kui süsteemis on haavatava versiooni Exim (versioonid 4.87 kuni 4.91) jäänuseid, tuleb veenduda, et süsteem ei ole enam kompromiteeritud, kontrollides crontabi kahtlaste kutsete osas ja veendudes, et kataloogis /root/.ssh ei ole lisavõtmeid. Rünnaku tunnustamiseks võib olla tõenduseks ka tulemüürü logides aktiivsus hostidelt an7kmd2wp4xo7hpr.tor2web.su, an7kmd2wp4xo7hpr.tor2web.io ja an7kmd2wp4xo7hpr.onion.sh, mida kasutatakse pahatahtliku tarkvara allalaadimise protsessis.Esimesed rünnakukatse Exim-serveritele

tuvastati 9. juunil. 13. juuniks rünnak omandas massilise iseloomu. Pärast haavatavuse ära kasutamist laaditakse Tor'i varjatud teenuse (an7kmd2wp4xo7hpr) kaudu tor2web'i väravate kaudu alla skript, mis kontrollib OpenSSH olemasolu (kui ei ole installitakse ), muudab selle seadistusi (lubabroot-sissepääsu ja autentimist võtmete kaudu) ning seadistab kasutajale root RSA-võtme , mis annab privileegitud ligipääsu süsteemile läbi SSH., mis pakub privileege pääsu süsteemi kaudu SSH.

Pärast tagaküljelukku seadistamist installitakse süsteemi portide skanner, et avastada teisi haavatavaid servereid. Samuti otsitakse süsteemist juba olemasolevaid kaevandamise süsteeme, mis eemaldatakse leitud juhul. Viimasel etapil laaditakse ja registreeritakse crontab'i all oma kaevandaja. Kaevandaja laaditakse ICO-faili näol (tõeliselt on see zip-arhiiv parooliga "no-password"), milles on pakitud ELF-formaadis käitust fail Linuxi jaoks, millel on Glibc 2.7+.

Allikas: opennet.ru