સંવેદનશીલ એક્ઝિમ-આધારિત મેઇલ સર્વર્સ પર મોટા પ્રમાણમાં હુમલો

Cybereason ના સુરક્ષા સંશોધકો ચેતવણી આપી મેઇલ સર્વર એડમિનિસ્ટ્રેટર્સ એક વિશાળ સ્વયંસંચાલિત હુમલાના શોષણને ઓળખવા વિશે જટિલ નબળાઈ (CVE-2019-10149) એક્ઝિમમાં, ગયા અઠવાડિયે શોધાયેલ. હુમલા દરમિયાન, હુમલાખોરો રૂટ અધિકારો સાથે તેમના કોડનો અમલ કરે છે અને ક્રિપ્ટોકરન્સીના માઇનિંગ માટે સર્વર પર માલવેર ઇન્સ્ટોલ કરે છે.

જૂન મુજબ સ્વચાલિત સર્વેક્ષણ એક્ઝિમનો હિસ્સો 57.05% (એક વર્ષ પહેલા 56.56%), પોસ્ટફિક્સનો ઉપયોગ 34.52% (33.79%) મેલ સર્વર્સ પર થાય છે, Sendmail - 4.05% (4.59%), Microsoft Exchange - 0.57% (0.85%). દ્વારા આપેલ શોદાન સેવા વૈશ્વિક નેટવર્ક પર 3.6 મિલિયનથી વધુ મેઇલ સર્વરો માટે સંભવિતપણે સંવેદનશીલ રહે છે કે જે એક્ઝિમ 4.92 ના નવીનતમ વર્તમાન પ્રકાશનમાં અપડેટ કરવામાં આવ્યા નથી. લગભગ 2 મિલિયન સંભવિત રૂપે સંવેદનશીલ સર્વર્સ યુનાઇટેડ સ્ટેટ્સમાં સ્થિત છે, રશિયામાં 192 હજાર. દ્વારા માહિતી RiskIQ કંપનીએ પહેલાથી જ એક્ઝિમ સાથેના 4.92% સર્વર્સના વર્ઝન 70 પર સ્વિચ કર્યું છે.

એડમિનિસ્ટ્રેટર્સને તાકીદે અપડેટ્સ ઇન્સ્ટોલ કરવાની સલાહ આપવામાં આવે છે જે ગયા અઠવાડિયે વિતરણ કિટ દ્વારા તૈયાર કરવામાં આવી હતી (ડેબિયન, ઉબુન્ટુ, ઓપનસુસ, આર્ક લિનક્સ, Fedora, RHEL/CentOS માટે EPEL). જો સિસ્ટમ પાસે એક્ઝિમનું સંવેદનશીલ સંસ્કરણ છે (4.87 થી 4.91 સહિત), તમારે ખાતરી કરવાની જરૂર છે કે શંકાસ્પદ કૉલ્સ માટે ક્રોન્ટાબ તપાસીને અને /root/ માં કોઈ વધારાની કી નથી તેની ખાતરી કરીને તમારે ખાતરી કરવાની જરૂર છે કે સિસ્ટમ પહેલાથી જ ચેડા નથી. ssh ડિરેક્ટરી. વેર ડાઉનલોડ કરવા માટે ઉપયોગમાં લેવાતા an7kmd2wp4xo7hpr.tor2web.su, an7kmd2wp4xo7hpr.tor2web.io અને an7kmd2wp4xo7hpr.onion.sh હોસ્ટની ફાયરવોલ લોગમાં હાજરી દ્વારા પણ હુમલો સૂચવી શકાય છે.

એક્ઝિમ સર્વર્સ પર હુમલો કરવાનો પ્રથમ પ્રયાસ નિશ્ચિત 9મી જૂન. 13 જૂન સુધીમાં હુમલો સ્વીકાર્યું સમૂહ પાત્ર ટોર2વેબ ગેટવે દ્વારા નબળાઈનો ઉપયોગ કર્યા પછી, ટોર હિડન સર્વિસ (an7kmd2wp4xo7hpr) પરથી સ્ક્રિપ્ટ ડાઉનલોડ કરવામાં આવે છે જે ઓપનએસએસએચની હાજરી માટે તપાસે છે (જો નહીં. સેટ), તેની સેટિંગ્સ બદલે છે (પરવાનગી આપે છે રૂટ લોગીન અને કી પ્રમાણીકરણ) અને વપરાશકર્તાને રૂટ પર સેટ કરે છે RSA કી, જે SSH મારફતે સિસ્ટમને વિશેષાધિકૃત ઍક્સેસ પ્રદાન કરે છે.

બેકડોર સેટ કર્યા પછી, અન્ય નબળા સર્વરોને ઓળખવા માટે સિસ્ટમ પર પોર્ટ સ્કેનર ઇન્સ્ટોલ કરવામાં આવે છે. સિસ્ટમમાં હાલની ખાણકામ પ્રણાલીઓ માટે પણ શોધ કરવામાં આવે છે, જેને ઓળખવામાં આવે તો કાઢી નાખવામાં આવે છે. છેલ્લા તબક્કે, તમારું પોતાનું ખાણિયો ડાઉનલોડ અને ક્રોન્ટાબમાં નોંધાયેલ છે. ખાણિયોને ico ફાઇલની આડમાં ડાઉનલોડ કરવામાં આવે છે (હકીકતમાં તે પાસવર્ડ "નો-પાસવર્ડ" સાથેનો ઝિપ આર્કાઇવ છે), જેમાં Glibc 2.7+ સાથે Linux માટે ELF ફોર્મેટમાં એક્ઝિક્યુટેબલ ફાઇલ છે.

સોર્સ: opennet.ru