ການໂຈມຕີເປັນຈໍານວນຫຼວງຫຼາຍຕໍ່ກັບເຄື່ອງແມ່ຂ່າຍເມລທີ່ອີງໃສ່ Exim ທີ່ມີຄວາມສ່ຽງ

ນັກຄົ້ນຄວ້າຄວາມປອດໄພຈາກ Cybereason ເຕືອນ mail ຜູ້ເບິ່ງແຍງເຄື່ອງແມ່ຂ່າຍກ່ຽວກັບການກໍານົດການໂຈມຕີອັດຕະໂນມັດຂະຫນາດໃຫຍ່ການຂູດຮີດ ຄວາມ​ສ່ຽງ​ທີ່​ສໍາ​ຄັນ​ (CVE-2019-10149) ໃນ Exim, ຄົ້ນພົບໃນອາທິດທີ່ຜ່ານມາ. ໃນລະຫວ່າງການໂຈມຕີ, ຜູ້ໂຈມຕີບັນລຸການປະຕິບັດລະຫັດຂອງພວກເຂົາດ້ວຍສິດທິຂອງຮາກແລະຕິດຕັ້ງ malware ໃນເຄື່ອງແມ່ຂ່າຍສໍາລັບການຂຸດຄົ້ນ cryptocurrencies.

ອີງຕາມການເດືອນມິຖຸນາ ການ​ສໍາ​ຫຼວດ​ອັດ​ຕະ​ໂນ​ມັດ​ ສ່ວນແບ່ງຂອງ Exim ແມ່ນ 57.05% (ປີກ່ອນຫນ້ານີ້ 56.56%), Postfix ຖືກນໍາໃຊ້ໃນ 34.52% (33.79%) ຂອງເຄື່ອງແມ່ຂ່າຍເມລ, Sendmail - 4.05% (4.59%), Microsoft Exchange - 0.57% (0.85%). ໂດຍ ຂໍ້ມູນ ການບໍລິການ Shodan ຍັງຄົງມີຄວາມສ່ຽງຕໍ່ເຄື່ອງແມ່ຂ່າຍເມລຫຼາຍກວ່າ 3.6 ລ້ານເຄື່ອງໃນເຄືອຂ່າຍທົ່ວໂລກທີ່ບໍ່ໄດ້ຮັບການປັບປຸງໃຫ້ກັບ Exim 4.92 ຫຼ້າສຸດ. ປະມານ 2 ລ້ານເຄື່ອງແມ່ຂ່າຍທີ່ມີຄວາມສ່ຽງແມ່ນຕັ້ງຢູ່ໃນສະຫະລັດ, 192 ພັນຄົນໃນລັດເຊຍ. ໂດຍ ຂໍ້ມູນຂ່າວສານ ບໍລິສັດ RiskIQ ໄດ້ປ່ຽນໄປເປັນເວີຊັ່ນ 4.92 ຂອງ 70% ຂອງເຄື່ອງແມ່ຂ່າຍທີ່ມີ Exim ແລ້ວ.

ຜູ້ບໍລິຫານໄດ້ຖືກແນະນໍາໃຫ້ຕິດຕັ້ງການອັບເດດຢ່າງຮີບດ່ວນທີ່ກະກຽມໂດຍຊຸດການແຈກຢາຍໃນອາທິດທີ່ຜ່ານມາ (Debian, Ubuntu, openSUSE, Arch Linux, Fedora, EPEL ສໍາລັບ RHEL/CentOS). ຖ້າລະບົບມີ Exim ຮຸ່ນທີ່ມີຄວາມສ່ຽງ (ຈາກ 4.87 ຫາ 4.91 ລວມ), ທ່ານຈໍາເປັນຕ້ອງໃຫ້ແນ່ໃຈວ່າລະບົບບໍ່ໄດ້ຖືກທໍາລາຍໂດຍການກວດສອບ crontab ສໍາລັບການໂທທີ່ຫນ້າສົງໄສແລະໃຫ້ແນ່ໃຈວ່າບໍ່ມີກະແຈເພີ່ມເຕີມໃນ /root/. ssh directory. ການໂຈມຕີຍັງສາມາດຖືກຊີ້ບອກໂດຍການມີຢູ່ໃນບັນທຶກການເຄື່ອນໄຫວຂອງໄຟວໍຈາກໂຮສ an7kmd2wp4xo7hpr.tor2web.su, an7kmd2wp4xo7hpr.tor2web.io ແລະ an7kmd2wp4xo7hpr.onion.sh, ເຊິ່ງໃຊ້ເພື່ອດາວໂຫຼດມັນແວ.

ຄວາມພະຍາຍາມທໍາອິດທີ່ຈະໂຈມຕີເຄື່ອງແມ່ຂ່າຍ Exim ບັນທຶກ ວັນທີ 9 ມິຖຸນາ. ​ໂດຍ​ການ​ໂຈມ​ຕີ​ໃນ​ວັນ​ທີ 13 ມິຖຸນາ​ນີ້ ໄດ້ເອົາ ມະຫາຊົນ ລັກສະນະ. ຫຼັງຈາກການຂຸດຄົ້ນຊ່ອງໂຫວ່ຜ່ານ tor2web gateways, script ຈະຖືກດາວໂຫລດຈາກບໍລິການທີ່ເຊື່ອງໄວ້ Tor (an7kmd2wp4xo7hpr) ທີ່ກວດສອບການມີ OpenSSH (ຖ້າບໍ່ແມ່ນ. ຊຸດ), ການ​ປ່ຽນ​ແປງ​ການ​ຕັ້ງ​ຄ່າ​ຂອງ​ຕົນ (ອະນຸຍາດ root login ແລະ key authentication) ແລະກໍານົດຜູ້ໃຊ້ທີ່ຈະຮາກ ກະແຈ RSA, ເຊິ່ງສະຫນອງການເຂົ້າເຖິງສິດທິພິເສດໃນລະບົບຜ່ານ SSH.

ຫຼັງຈາກການຕັ້ງຄ່າ backdoor, ເຄື່ອງສະແກນພອດໄດ້ຖືກຕິດຕັ້ງຢູ່ໃນລະບົບເພື່ອກໍານົດເຄື່ອງແມ່ຂ່າຍທີ່ມີຄວາມສ່ຽງອື່ນໆ. ລະບົບຍັງຖືກຄົ້ນຫາສໍາລັບລະບົບການຂຸດຄົ້ນບໍ່ແຮ່ທີ່ມີຢູ່, ເຊິ່ງຈະຖືກລຶບຖິ້ມຖ້າຖືກລະບຸ. ໃນຂັ້ນຕອນສຸດທ້າຍ, ແຮ່ທາດຂອງທ່ານເອງຖືກດາວໂຫຼດແລະລົງທະບຽນໃນ crontab. ຜູ້ແຮ່ທາດໄດ້ຖືກດາວໂຫຼດພາຍໃຕ້ການອ້າງອິງຂອງໄຟລ໌ ico (ໃນຄວາມເປັນຈິງມັນເປັນບ່ອນເກັບ zip ທີ່ມີລະຫັດຜ່ານ "ບໍ່ມີລະຫັດຜ່ານ"), ເຊິ່ງປະກອບດ້ວຍໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ໃນຮູບແບບ ELF ສໍາລັບ Linux ກັບ Glibc 2.7+.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru