Continua a crescere l'attacco ««, nel corso del quale sconosciuti malintenzionati distruggono dati in installazioni Elasticsearch e MongoDB pubblicamente accessibili e non protette. Sono stati registrati rari casi di pulizia (circa il 3% di tutte le vittime) anche per database non protetti basati su Apache Cassandra, CouchDB, Redis, Hadoop e Apache ZooKeeper. L'attacco avviene tramite un bot che esamina le porte di rete standard dei DBMS. Lo studio dell'attacco su un server honeypot fasullo ha rivelato che il bot si collega tramite ProtonVPN. Se il 22 luglio erano state registrate circa 1000 DB remoti, il 23 luglio il numero dei sistemi colpiti è salito a circa 2500, e ieri ha raggiunto quota 3800, ma oggi è sceso a 3750.
La causa dei problemi è l'apertura dell'accesso pubblico ai DB senza una corretta configurazione dell'autenticazione. Per errore o negligenza, il gestore delle richieste viene collegato non all'indirizzo interno 127.0.0.1 (localhost), ma a tutte le interfacce di rete, incluso l'esterno. In MongoDB, questo comportamento è facilitato dalle impostazioni proposte di default, mentre in Elasticsearch fino al rilascio nella versione gratuita non erano affatto supportati strumenti di accesso differenziato.
Significativa con il provider VPN UFO, che ha rivelato un database Elasticsearch accessibile pubblicamente, di 894GB. Il provider si era presentato come attento alla privacy degli utenti e privo di registri. Contrariamente a quanto dichiarato, nel database apparso erano presenti registrazioni che includevano informazioni sugli indirizzi IP, l'associazione delle sessioni con il tempo, i marker sulla posizione dell'utente, informazioni sul sistema operativo e dispositivo dell'utente, liste di domini per l'inserimento pubblicitario nel traffico HTTP non protetto. Inoltre, nel database erano presenti password di accesso in chiaro e chiavi di sessione che consentivano di decrittare le sessioni intercettate.
Il provider UFO è stato informato del problema il 1 luglio, ma il messaggio è rimasto senza risposta per due settimane e il 14 luglio è stata inviata un'altra richiesta al provider di hosting, dopo di che il 15 luglio il database è stato protetto. Il 20 luglio, questo database è riapparso pubblicamente su un'altra IP. In poche ore, quasi tutti i dati nel database erano stati rimossi. L'analisi di questa rimozione ha rivelato che era correlata a un attacco massiccio conosciuto come Meow, dal nome degli indici lasciati nel database dopo la cancellazione. La ricerca tramite il servizio Shodan. , che hanno anche colpito diverse centinaia di server. Attualmente, il numero di database rimossi si avvicina a 4000.
Fonte: opennet.ru
