{"id":35281,"date":"2019-10-31T22:03:25","date_gmt":"2019-10-31T19:03:25","guid":{"rendered":"https:\/\/prohoster.info\/blog\/massovaya-ataka-na-uyazvimye-pochtovye-servery-na-osnove-exim\/"},"modified":"2019-10-31T22:03:25","modified_gmt":"2019-10-31T19:03:25","slug":"massovaya-ataka-na-uyazvimye-pochtovye-servery-na-osnove-exim","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/massovaya-ataka-na-uyazvimye-pochtovye-servery-na-osnove-exim","title":{"rendered":"Attaque massive sur des serveurs de messagerie vuln\u00e9rables bas\u00e9s sur Exim","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Des chercheurs en s\u00e9curit\u00e9 de l'entreprise Cybereason ont averti<\/a><\/noindex> ont inform\u00e9 les administrateurs de serveurs de messagerie d'une attaque automatis\u00e9e massive exploitant une vuln\u00e9rabilit\u00e9 critique<\/a><\/noindex> (CVE-2019-10149) dans Exim, d\u00e9couverte la semaine derni\u00e8re. Lors de cette attaque, les cybercriminels parviennent \u00e0 ex\u00e9cuter leur code avec des privil\u00e8ges root et \u00e0 installer sur le serveur des logiciels malveillants de minage de cryptomonnaies.<\/p>\n

Selon les chiffres de juin concernant environ un million de serveurs de messagerie, Postfix est utilis\u00e9 sur 34,29 % (34,42 %) des serveurs de messagerie,<\/a><\/noindex> La part d'Exim est de 57,05 % (contre 56,56 % l'ann\u00e9e derni\u00e8re), Postfix est utilis\u00e9 sur 34,52 % (33,79 %) des serveurs de messagerie, Sendmail \u2014 4,05 % (4,59 %), Microsoft Exchange \u2014 0,57 % (0,85 %). les donn\u00e9es<\/a><\/noindex> le service Shodan, plus de 3,6 millions de serveurs de messagerie sur Internet restent potentiellement vuln\u00e9rables, n'ayant pas \u00e9t\u00e9 mis \u00e0 jour vers la derni\u00e8re version stable d'Exim 4.92. Environ 2 millions de serveurs potentiellement vuln\u00e9rables sont situ\u00e9s aux \u00c9tats-Unis, 192 000 en Russie. Selon informations<\/a><\/noindex> l'entreprise RiskIQ, 70 % des serveurs utilisant Exim sont d\u00e9j\u00e0 pass\u00e9s \u00e0 la version 4.92.<\/p>\n

\"Attaque<\/center><\/p>\n

Il est recommand\u00e9 aux administrateurs de proc\u00e9der de toute urgence \u00e0 l'installation des mises \u00e0 jour qui ont \u00e9t\u00e9 pr\u00e9par\u00e9es par les distributions depuis la semaine derni\u00e8re (Debian<\/a><\/noindex>, Ubuntu<\/a><\/noindex>, openSUSE<\/a><\/noindex>, Arch Linux<\/a><\/noindex>, Fedora<\/a><\/noindex>, EPEL pour RHEL\/CentOS<\/a><\/noindex>). En cas de pr\u00e9sence d'une vuln\u00e9rabilit\u00e9 dans le syst\u00e8me avec les versions d'Exim compromises (de 4.87 \u00e0 4.91 incluses), il est n\u00e9cessaire de s'assurer que le syst\u00e8me n'est plus compromis, en v\u00e9rifiant le crontab pour d\u00e9tecter des appels suspects et en s'assurant de l'absence de cl\u00e9s additionnelles dans le r\u00e9pertoire \/root\/.ssh. La pr\u00e9sence d'activit\u00e9 dans les journaux du pare-feu avec les h\u00f4tes an7kmd2wp4xo7hpr.tor2web.su, an7kmd2wp4xo7hpr.tor2web.io et an7kmd2wp4xo7hpr.onion.sh peut \u00e9galement indiquer une attaque en cours de chargement de logiciels malveillants. <\/p>\n

Les premi\u00e8res tentatives d'attaque contre les serveurs Exim des<\/a><\/noindex> ont eu lieu le 9 juin. D'ici le 13 juin, l'attaque avait pris<\/a><\/noindex> une ampleur massive.<\/a><\/noindex> Apr\u00e8s l'exploitation de la vuln\u00e9rabilit\u00e9 via les passerelles tor2web du service cach\u00e9 Tor (an7kmd2wp4xo7hpr), un script est t\u00e9l\u00e9charg\u00e9 pour v\u00e9rifier la pr\u00e9sence d'OpenSSH (si ce n'est pas le cas, il l'installe<\/a><\/noindex>), modifie ses param\u00e8tres (autorise<\/a><\/noindex> connexion en root et authentification par cl\u00e9) et installe pour l'utilisateur root une cl\u00e9 RSA<\/a><\/noindex>, offrant un acc\u00e8s privil\u00e9gi\u00e9 au syst\u00e8me via SSH.<\/p>\n

Apr\u00e8s l'installation d'un backdoor dans le syst\u00e8me, un scanner de ports est mis en place pour identifier d'autres serveurs vuln\u00e9rables. Une recherche est \u00e9galement effectu\u00e9e pour d\u00e9tecter les syst\u00e8mes de minage d\u00e9j\u00e0 pr\u00e9sents, qui sont supprim\u00e9s s'ils sont trouv\u00e9s. \u00c0 la derni\u00e8re \u00e9tape, un mineur est charg\u00e9 et inscrit dans le crontab. Le mineur est t\u00e9l\u00e9charg\u00e9 sous l'apparence d'un fichier ico (qui est en r\u00e9alit\u00e9 une archive zip avec le mot de passe \u00ab no-password \u00bb), contenant un fichier ex\u00e9cutable au format ELF pour Linux avec Glibc 2.7+.<\/p>\n

<\/a><\/noindex><\/p>\n

Source : opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Cybereason \u043f\u0440\u0435\u0434\u0443\u043f\u0440\u0435\u0434\u0438\u043b\u0438 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u043e\u0432 \u043f\u043e\u0447\u0442\u043e\u0432\u044b\u0445 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u043e \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u0438 \u043c\u0430\u0441\u0441\u043e\u0432\u043e\u0439 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0430\u0442\u0430\u043a\u0438, \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0438\u0440\u0443\u044e\u0449\u0435\u0439 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0443\u044e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2019-10149) \u0432 Exim, \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u043d\u0443\u044e \u043d\u0430 \u043f\u0440\u043e\u0448\u043b\u043e\u0439 \u043d\u0435\u0434\u0435\u043b\u0435. \u0412 \u0445\u043e\u0434\u0435 \u0430\u0442\u0430\u043a\u0438 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0434\u043e\u0431\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0441\u0432\u043e\u0435\u0433\u043e \u043a\u043e\u0434\u0430 \u0441 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 root \u0438 \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u044e\u0442 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0435 \u041f\u041e \u0434\u043b\u044f \u043c\u0430\u0439\u043d\u0438\u043d\u0433\u0430 \u043a\u0440\u0438\u043f\u0442\u043e\u0432\u0430\u043b\u044e\u0442. \u0412 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0438\u0438 \u0441 \u0438\u044e\u043d\u044c\u0441\u043a\u0438\u043c \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c \u043e\u043f\u0440\u043e\u0441\u043e\u043c \u0434\u043e\u043b\u044f Exim \u0441\u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 57.05% (\u0433\u043e\u0434 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":26492,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-35281","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Attaque massive sur des serveurs de messagerie vuln\u00e9rables bas\u00e9s sur Exim | ProHoster","description":"Des chercheurs en s\u00e9curit\u00e9 de la soci\u00e9t\u00e9 Cybereason ont pr\u00e9venu.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/massovaya-ataka-na-uyazvimye-pochtovye-servery-na-osnove-exim","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041c\u0430\u0441\u0441\u043e\u0432\u0430\u044f \u0430\u0442\u0430\u043a\u0430 \u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u044b\u0435 \u043f\u043e\u0447\u0442\u043e\u0432\u044b\u0435 \u0441\u0435\u0440\u0432\u0435\u0440\u044b \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0435 Exim | ProHoster","og:description":"\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Cybereason \u043f\u0440\u0435\u0434\u0443\u043f\u0440\u0435\u0434\u0438\u043b\u0438.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/massovaya-ataka-na-uyazvimye-pochtovye-servery-na-osnove-exim","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:03:25+00:00","article:modified_time":"2019-10-31T19:03:25+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"35281","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 22:39:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:06:25","updated":"2026-01-21 22:39:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/35281","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=35281"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/35281\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media\/26492"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=35281"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=35281"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=35281"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}