მასიური თავდასხმა დაუცველ Exim-ზე დაფუძნებულ ფოსტის სერვერებზე

უსაფრთხოების მკვლევარები Cybereason-დან გააფრთხილა ფოსტის სერვერის ადმინისტრატორები მასიური ავტომატური შეტევის ექსპლუატაციის იდენტიფიკაციის შესახებ კრიტიკული დაუცველობა (CVE-2019-10149) Exim-ში, აღმოჩენილი გასულ კვირას. თავდასხმის დროს, თავდამსხმელები აღწევენ თავიანთი კოდის შესრულებას root უფლებებით და აყენებენ მავნე პროგრამას სერვერზე კრიპტოვალუტების მაინინგისთვის.

ივნისის მიხედვით ავტომატური გამოკითხვა Exim-ის წილი არის 57.05% (ერთი წლის წინ 56.56%), Postfix გამოიყენება ფოსტის სერვერების 34.52% (33.79%), Sendmail - 4.05% (4.59%), Microsoft Exchange - 0.57% (0.85%). ავტორი მიხედვით Shodan სერვისი პოტენციურად დაუცველი რჩება გლობალურ ქსელში არსებული 3.6 მილიონზე მეტი საფოსტო სერვერის მიმართ, რომლებიც არ განახლებულა Exim 4.92-ის უახლესი მიმდინარე გამოშვებით. დაახლოებით 2 მილიონი პოტენციურად დაუცველი სერვერი მდებარეობს შეერთებულ შტატებში, 192 ათასი რუსეთში. ავტორი ინფორმაცია RiskIQ კომპანია უკვე გადავიდა 4.92 ვერსიაზე სერვერების 70% Exim-ით.

ადმინისტრატორებს ურჩევენ სასწრაფოდ დააინსტალირონ განახლებები, რომლებიც მომზადდა გასულ კვირას განაწილების კომპლექტებით (Debian, Ubuntu, openSUSE, Arch Linux, Fedora, EPEL RHEL/CentOS-ისთვის). თუ სისტემას აქვს Exim-ის დაუცველი ვერსია (4.87-დან 4.91-ის ჩათვლით), თქვენ უნდა დარწმუნდეთ, რომ სისტემა უკვე დაზიანებული არ არის საეჭვო ზარებისთვის crontab-ის შემოწმებით და დარწმუნდებით, რომ /root/-ში დამატებითი კლავიშები არ არის. ssh დირექტორია. თავდასხმა ასევე შეიძლება მიუთითებდეს აქტივობების firewall-ის ჟურნალში არსებობით ჰოსტებიდან an7kmd2wp4xo7hpr.tor2web.su, an7kmd2wp4xo7hpr.tor2web.io და an7kmd2wp4xo7hpr.onion.sh, რომლებიც გამოიყენება მავნე პროგრამების ჩამოსატვირთად.

Exim სერვერებზე თავდასხმის პირველი მცდელობები დაფიქსირდა 9 ივნისს. 13 ივნისის თავდასხმისთვის მიღებულია მასა პერსონაჟი. დაუცველობის tor2web გეითვეიების გამოყენების შემდეგ, სკრიპტი ჩამოიტვირთება Tor ფარული სერვისიდან (an7kmd2wp4xo7hpr), რომელიც ამოწმებს OpenSSH-ის არსებობას (თუ არა კომპლექტი), ცვლის თავის პარამეტრებს (ნებადართავს root შესვლა და გასაღების ავტორიზაცია) და აყენებს მომხმარებელს root-ზე RSA გასაღები, რომელიც უზრუნველყოფს სისტემაზე პრივილეგირებულ წვდომას SSH-ის საშუალებით.

Backdoor-ის დაყენების შემდეგ, სისტემაში დამონტაჟებულია პორტის სკანერი სხვა დაუცველი სერვერების იდენტიფიცირებისთვის. სისტემაში ასევე იძებნება არსებული მაინინგ სისტემები, რომლებიც იდენტიფიცირების შემთხვევაში წაიშლება. ბოლო ეტაპზე, თქვენი საკუთარი მაინერი ჩამოიტვირთება და დარეგისტრირდება crontab-ში. მაინერი ჩამოტვირთულია ico ფაილის საფარქვეშ (სინამდვილეში ეს არის zip არქივი პაროლით „არა პაროლი“), რომელიც შეიცავს შესრულებად ფაილს ELF ფორმატში Linux-ისთვის Glibc 2.7+-ით.

წყარო: opennet.ru