Napad „Meow“ nastavlja rasti,u kojem nepoznati napadači uništavaju podatke u javno dostupnim nezaštićenim instalacijama Elasticsearch i MongoDB. Pojedinačni slučajevi čišćenja (ukupno oko 3% svih žrtava) također su zabilježeni za nezaštićene baze podataka temeljene na Apache Cassandri, CouchDB, Redis, Hadoop i Apache ZooKeeper. Napad se provodi putem bota koji pretražuje standardne mrežne portove ovih sustava. Istraživanje napada na zamjenskom honeypot poslužitelju pokazalo je da se povezivanje bota vrši preko ProtonVPN-a. Ako je 22. srpnja zabilježeno oko 1000 uklonjenih baza podataka, 23. srpnja broj pogođenih sustava približno na 2500, a jučer je dosegnuo 3800, ali je danas pao na 3750.
Uzrok problema je otvaranje javnog pristupa bazi podataka bez odgovarajuće autentifikacije. Zbog greške ili nepažnje, obrada zahtjeva se povezuje ne s unutarnjom adresom 127.0.0.1 (localhost), već sa svim mrežnim sučeljima, uključujući vanjsko. U MongoDB-u to ponašanje olakšavaju primjeri postavki koje se nude po defaultu, dok u Elasticsearchu do izlaska u besplatnoj verziji nije bila podržavana sredstva za ograničavanje pristupa.
Zanimljivo je s VPN-provajderom UFO, kod kojeg je otkrivena javno dostupna baza Elasticsearch, veličine 894GB. Provajder se predstavljao kao onaj koji brine o privatnosti korisnika i ne vodi dnevnik. Suprotno tvrdnji, u otkrivenoj bazi su se nalazili dnevnički podaci koji uključuju informacije o IP adresama, vezivanju sesija za vrijeme, oznakama o lokaciji korisnika, informacijama o operativnom sustavu i uređaju korisnika, kao i popisima domena za inserciju oglasa u nezaštićeni HTTP promet. Štoviše, u bazi podataka su pronađene lozinke u otvorenom obliku i sesijski ključevi koji omogućuju dešifriranje presretnutih sesija.
Davatelj UFO obaviješten je o problemu 1. srpnja, no dva tjedna poruka nije bila odgovorena, a 14. srpnja poslan je novi zahtjev hosting davatelju, nakon čega je 15. srpnja baza podataka zaštićena. 20. srpnja ta je baza podataka ponovno postala javno dostupna na drugom IP-u. U nekoliko sati gotovo svi podaci u bazi podataka su izbrisani. Istraživanje ovog brisanja pokazalo je da je povezano s masivnim napadom nazvanim Meow prema indeksima ostavljenim u bazi podataka nakon brisanja. Pretraživanje putem servisa Shodan , a među žrtvama brisanja našlo se još nekoliko stotina poslužitelja. Trenutno broj izbrisanih baza podataka približava se brojci od 4000.
Izvor: opennet.ru
