L'attacco "" continua a intensificarsi, durante il quale attori malevoli sconosciuti cancellano dati in installazioni Elasticsearch e MongoDB pubblicamente accessibili e non protette. Casi isolati di pulizia (circa il 3% di tutte le vittime) sono stati registrati anche per database non protetti basati su Apache Cassandra, CouchDB, Redis, Hadoop e Apache ZooKeeper. L'attacco viene effettuato tramite un bot che esplora le porte di rete standard dei DBMS. Lo studio dell'attacco su un honeypot impersonato ha mostrato che il bot si connette tramite ProtonVPN. Se il 22 luglio erano state registrate circa 1000 DB remoti, il 23 luglio il numero dei sistemi colpiti è salito a circa 2500, e ieri ha superato i 3800, ma è sceso oggi a 3750.
La causa dei problemi è l'apertura dell'accesso pubblico ai DB senza una corretta configurazione dell'autenticazione. Per errore o negligenza, il gestore delle richieste viene collegato non all'indirizzo interno 127.0.0.1 (localhost), ma a tutte le interfacce di rete, compresa quella esterna. In MongoDB, un comportamento simile è favorito dalle impostazioni suggerite di default, mentre in Elasticsearch fino al rilascio nella versione gratuita non erano affatto supportati gli strumenti di controllo degli accessi.
Nota è il caso del provider VPN UFO, che aveva un database Elasticsearch pubblico di 894GB. Il provider si era presentato come attento alla privacy degli utenti e non registrante log. Contrariamente a quanto dichiarato, nel database esistevano log contenenti informazioni su indirizzi IP, associazione delle sessioni con il tempo, etichette sulla posizione degli utenti, informazioni sul sistema operativo e dispositivo degli utenti, liste di domini per la pubblicità nel traffico HTTP non protetto. Inoltre, nel DB erano presenti le password di accesso in chiaro e chiavi di sessione che consentivano di decrittografare le sessioni intercettate.
Il provider UFO è stato informato del problema il 1° luglio, ma per due settimane il messaggio è rimasto senza risposta, e il 14 luglio è stata inviata un'altra richiesta al provider di hosting, dopo la quale il 15 luglio il DB è stato protetto. Il 20 luglio questo DB è riemerso pubblicamente su un altro IP. Nel giro di pochi ore quasi tutti i dati nel DB sono stati cancellati. L'analisi di questa cancellazione ha mostrato che era collegata a un attacco condotto in massa, soprannominato Meow per via dei nomi degli indici lasciati nel DB dopo la cancellazione. La ricerca tramite il servizio Shodan , che ha visto la cancellazione di ulteriori diverse centinaia di server. Attualmente, il numero di database eliminati si avvicina a 4000.
Fonte: opennet.ru
