I ricercatori della sicurezza di Cybereason hanno avvertito gli amministratori dei server di posta riguardo a un attacco automatizzato di massa che sfrutta (CVE-2019-10149) in Exim, scoperta la settimana scorsa. Durante l'attacco, gli aggressori riescono a eseguire il loro codice con privilegi di root e installano sul server malware per il mining di criptovalute.
Secondo i dati di giugno, la quota di Exim è del 57,05% (rispetto al 56,56% di un anno fa), Postfix è utilizzato nel 34,52% (33,79%) dei server di posta, Sendmail nel 4,05% (4,59%) e Microsoft Exchange nello 0,57% (0,85%). Secondo il servizio Shodan, sono ancora oltre 3,6 milioni i server di posta potenzialmente vulnerabili in rete, che non sono stati aggiornati all'ultima versione disponibile di Exim 4.92. Circa 2 milioni dei server potenzialmente vulnerabili si trovano negli Stati Uniti, 192 mila in Russia. Secondo l'azienda RiskIQ, il 70% dei server con Exim ha già effettuato l'aggiornamento alla versione 4.92.
Agli amministratori si consiglia di installare urgentemente gli aggiornamenti, che erano stati resi disponibili la scorsa settimana dalle distribuzioni (, , , , , ). In caso di presenza nella sistema di una vulnerabilità nota della versione Exim (dalla 4.87 alla 4.91 inclusa), è necessario verificare che il sistema non sia già compromesso, controllando il crontab per eventuali chiamate sospette e assicurandosi dell'assenza di chiavi aggiuntive nella directory /root/.ssh. Un attacco può anche essere indicato dalla presenza di attività nel log del firewall da host come an7kmd2wp4xo7hpr.tor2web.su, an7kmd2wp4xo7hpr.tor2web.io e an7kmd2wp4xo7hpr.onion.sh, utilizzati per il download di malware.
Le prime tentativi di attacco ai server Exim il 9 giugno. Entro il 13 giugno, l'attacco natura massiccia. Dopo l'esploitazione della vulnerabilità attraverso i gateway tor2web del servizio Tor (an7kmd2wp4xo7hpr), viene caricato uno script che verifica la presenza di OpenSSH (se non presente ), modifica le sue impostazioni ( accesso come root e autenticazione tramite chiavi) e stabilisce per l'utente root , fornendo accesso privilegiato al sistema tramite SSH.
Dopo la configurazione del backdoor, viene installato un scanner di porte nel sistema per identificare altri server vulnerabili. Inoltre, si ricerca nel sistema eventuali miner già presenti, che vengono rimossi se trovati. Nella fase finale, si carica e si registra nel crontab un miner personalizzato. Il miner è caricato sotto forma di file ico (che in realtà è un archivio zip con la password «no-password»), all'interno del quale si trova un file eseguibile in formato ELF per Linux con Glibc 2.7+.
Fonte: opennet.ru
