A támadás továbbra is erősödik «», amely során ismeretlen támadók adatokat törölnek nyilvánosan elérhető, védtelen Elasticsearch és MongoDB telepítésekből. Egyedi esetekben (összességében körülbelül 3% az összes áldozatból) védtelen Apache Cassandra, CouchDB, Redis, Hadoop és Apache ZooKeeper alapú adatbázisoknál is előfordultaz adatok törlése. A támadás egy olyan boton keresztül történik, amely az adatbázisok szabványos hálózati portjait próbálgatja. A támadás egy hamis honeypot szerveren végzett vizsgálata szerint a bot csatlakozása a ProtonVPN-en keresztül történt. Július 22-én körülbelül 1000 távoli adatbázist regisztráltak, míg július 23-án a megtámadott rendszerek száma körülbelül 2500-ra nőtt, míg tegnap elérte a 3800-at, de ma 3750-re csökkent.
A problémák oka a megfelelő hitelesítési beállítások nélküli nyilvános hozzáférés biztosítása az adatbázisokhoz. Hibából vagy figyelmetlenségből a kéréskezelő nem a belső 127.0.0.1 (localhost) címhez, hanem minden hálózati interfészhez, beleértve a külsőt is, van csatlakoztatva. A MongoDB esetében ilyen viselkedést az alapértelmezett beállításokban ajánlott példák segítik, míg Elasticsearch esetében a kiadás előtt a ingyenes verzióban egyáltalán nem támogatták a hozzáférés-szabályozási eszközöket.
Figyelemre méltó a VPN-szolgáltató, az UFO, amelynél egy nyilvánosan elérhető, 894 GB méretű Elasticsearch adatbázist találtak. A szolgáltató azt hirdette, hogy figyel a felhasználók magánéletére, és nem vezet naplókat. A nyilatkozattal ellentétben az adatbázisban naplók is találhatóak, amelyek IP-címekről, a munkamenetek időpontjáról, a felhasználó tartózkodási helyéről, az operációs rendszerről és a felhasználói készülékről, valamint a reklámok adatokban történő interpolálásához használt domainlistákról tartalmaznak információkat. Továbbá, az adatbázisban nyíltan megadott hozzáférési jelszavak és olyan session kulcsok voltak, amelyek lehetővé tették a megzavart munkamenetek dekódolását.
Az UFO szolgáltatót július 1-jén értesítették a problémáról, de két hétig a bejelentés válasz nélkül maradt, és július 14-én egy másik kérést küldtek a hosztolási szolgáltatónak, majd július 15-én az adatbázist védetté tették. Július 20-án ez az adatbázis ismét nyilvánosan elérhető lett egy másik IP-n. Pár órán belül szinte az összes adat törlésre került az adatbázisból. A törlés elemzése azt mutatta, hogy az egy nagy volumenű támadással áll összefüggésben, amely a Meow nevet viseli az adatbázisban törlés után hátrahagyott indexek után. A Shodan szolgáltatáson keresztül történő keresés , hogy az eltávolítás áldozatai között további több száz szerver is szerepel. Jelenleg az eltávolított adatbázisok száma megközelíti a 4000-es határt.
Forrás: opennet.ru
