Ricercatori di sicurezza di Cybereason gli amministratori dei server di posta riguardo alla rilevazione di un attacco automatizzato su larga scala che sfrutta (CVE-2019-10149) in Exim, scoperta la scorsa settimana. Durante l'attacco, gli aggressori riescono a eseguire il proprio codice con diritti root e installano sul server malware per il mining di criptovalute.
Secondo i dati di giugno la quota di Exim è del 57,05% (un anno fa era del 56,56%), Postfix è utilizzato dal 34,52% (33,79%) dei server di posta, Sendmail dal 4,05% (4,59%), Microsoft Exchange dallo 0,57% (0,85%). Attraverso il servizio Shodan, oltre 3,6 milioni di server di posta nella rete globale risultano potenzialmente vulnerabili, poiché non sono stati aggiornati all'ultima versione attuale di Exim 4.92. Circa 2 milioni di server potenzialmente vulnerabili si trovano negli Stati Uniti, 192.000 in Russia. Secondo la società RiskIQ, il 70% dei server con Exim ha già effettuato il passaggio alla versione 4.92.
Si raccomanda agli amministratori di installare con urgenza le aggiornamenti, predisposti già la scorsa settimana dalle distribuzioni (, , , , , ). In caso di presenza nel sistema di una vulnerabilità della versione Exim (dalla 4.87 alla 4.91 inclusa), è necessario assicurarsi che il sistema non sia già stato compromesso, controllando il crontab per eventuali chiamate sospette e assicurando l'assenza di chiavi aggiuntive nella cartella /root/.ssh. L'attività nei log del firewall da host an7kmd2wp4xo7hpr.tor2web.su, an7kmd2wp4xo7hpr.tor2web.io e an7kmd2wp4xo7hpr.onion.sh può anche indicare un attacco, che viene utilizzato nel processo di caricamento del malware.
I primi tentativi di attacco ai server Exim sono stati registrati il 9 giugno. Entro il 13 giugno, l'attacco modalità di massa. Dopo aver sfruttato la vulnerabilità tramite i gateway tor2web dal servizio nascosto Tor (an7kmd2wp4xo7hpr), viene caricato uno script che verifica la presenza di OpenSSH (se non è presente ), modifica le sue impostazioni ( accesso da root e autenticazione tramite chiavi) e prepara per l'utente root , che fornisce accesso privilegiato al sistema tramite SSH.
Dopo la configurazione di un backdoor nel sistema, viene installato uno scanner delle porte per identificare altri server vulnerabili. Viene inoltre effettuata una ricerca nei sistemi già esistenti per il mining, che vengono rimossi in caso di rilevamento. Nell'ultima fase, viene caricato e registrato nel crontab un miner personalizzato. Il miner viene caricato sotto forma di file ico (in realtà è un archivio zip con la password "no-password"), all'interno del quale è presente un file eseguibile in formato ELF per Linux con Glibc 2.7+.
Fonte: opennet.ru
