ദുർബലമായ എക്സിം അടിസ്ഥാനമാക്കിയുള്ള മെയിൽ സെർവറുകളിൽ വൻ ആക്രമണം

Cybereason-ൽ നിന്നുള്ള സുരക്ഷാ ഗവേഷകർ മുന്നറിയിപ്പ് നൽകി മെയിൽ സെർവർ അഡ്മിനിസ്ട്രേറ്റർമാർ ഒരു വൻതോതിലുള്ള ഓട്ടോമേറ്റഡ് ആക്രമണ ചൂഷണം തിരിച്ചറിയുന്നതിനെക്കുറിച്ച് ഗുരുതരമായ ദുർബലത (CVE-2019-10149) എക്‌സിമിൽ, കഴിഞ്ഞ ആഴ്‌ച കണ്ടെത്തി. ആക്രമണ സമയത്ത്, ആക്രമണകാരികൾ റൂട്ട് അവകാശങ്ങൾ ഉപയോഗിച്ച് അവരുടെ കോഡിന്റെ നിർവ്വഹണം നേടുകയും ക്രിപ്‌റ്റോകറൻസികൾ ഖനനം ചെയ്യുന്നതിനായി സെർവറിൽ ക്ഷുദ്രവെയർ ഇൻസ്റ്റാൾ ചെയ്യുകയും ചെയ്യുന്നു.

ജൂൺ പ്രകാരം ഓട്ടോമേറ്റഡ് സർവേ എക്സിമിന്റെ വിഹിതം 57.05% ആണ് (ഒരു വർഷം മുമ്പ് 56.56%), പോസ്റ്റ്ഫിക്സ് 34.52% (33.79%) മെയിൽ സെർവറുകളിലും, Sendmail - 4.05% (4.59%), Microsoft Exchange - 0.57% (0.85%) ആണ്. എഴുതിയത് നൽകി എക്‌സിം 3.6-ന്റെ ഏറ്റവും പുതിയ റിലീസിലേക്ക് അപ്‌ഡേറ്റ് ചെയ്യാത്ത ആഗോള നെറ്റ്‌വർക്കിലെ 4.92 ദശലക്ഷത്തിലധികം മെയിൽ സെർവറുകൾക്ക് ഷോഡാൻ സേവനം ദുർബലമാകാൻ സാധ്യതയുണ്ട്. അപകടസാധ്യതയുള്ള ഏകദേശം 2 ദശലക്ഷം സെർവറുകൾ യുണൈറ്റഡ് സ്റ്റേറ്റ്സിൽ സ്ഥിതിചെയ്യുന്നു, 192 ആയിരം റഷ്യയിൽ. എഴുതിയത് വിവരം Exim ഉള്ള 4.92% സെർവറുകളുടെ 70 പതിപ്പിലേക്ക് RiskIQ കമ്പനി ഇതിനകം മാറിക്കഴിഞ്ഞു.

കഴിഞ്ഞയാഴ്ച വിതരണ കിറ്റുകൾ തയ്യാറാക്കിയ അപ്‌ഡേറ്റുകൾ അടിയന്തിരമായി ഇൻസ്റ്റാൾ ചെയ്യാൻ അഡ്മിനിസ്ട്രേറ്റർമാരോട് നിർദ്ദേശിക്കുന്നു (ഡെബിയൻ, ഉബുണ്ടു, ഓപ്പൺസുസി, ആർക്ക് ലിനക്സ്, ഫെഡോറ, RHEL/CentOS-നുള്ള EPEL). സിസ്റ്റത്തിന് Exim-ന്റെ ഒരു ദുർബലമായ പതിപ്പ് ഉണ്ടെങ്കിൽ (4.87 മുതൽ 4.91 വരെ), സംശയാസ്പദമായ കോളുകൾക്കായി crontab പരിശോധിച്ച് /root/-ൽ അധിക കീകൾ ഇല്ലെന്ന് ഉറപ്പുവരുത്തി സിസ്റ്റം ഇതിനകം വിട്ടുവീഴ്ച ചെയ്തിട്ടില്ലെന്ന് ഉറപ്പാക്കേണ്ടതുണ്ട്. ssh ഡയറക്ടറി. മാൽവെയർ ഡൗൺലോഡ് ചെയ്യാൻ ഉപയോഗിക്കുന്ന an7kmd2wp4xo7hpr.tor2web.su, an7kmd2wp4xo7hpr.tor2web.io, an7kmd2wp4xo7hpr.onion.sh എന്നീ ഹോസ്റ്റുകളിൽ നിന്നുള്ള പ്രവർത്തനത്തിന്റെ ഫയർവാൾ ലോഗിലെ സാന്നിധ്യവും ആക്രമണത്തെ സൂചിപ്പിക്കാം.

എക്സിം സെർവറുകളെ ആക്രമിക്കാനുള്ള ആദ്യ ശ്രമങ്ങൾ നിശ്ചിത ജൂൺ 9. ജൂൺ 13-ന് ആക്രമണം എടുത്തു പിണ്ഡം സ്വഭാവം. tor2web ഗേറ്റ്‌വേകൾ വഴിയുള്ള അപകടസാധ്യത പ്രയോജനപ്പെടുത്തിയ ശേഷം, OpenSSH ന്റെ സാന്നിധ്യം പരിശോധിക്കുന്ന Tor ഹിഡൻ സേവനത്തിൽ നിന്ന് (an7kmd2wp4xo7hpr) ഒരു സ്‌ക്രിപ്റ്റ് ഡൗൺലോഡ് ചെയ്യുന്നു (ഇല്ലെങ്കിൽ സെറ്റുകൾ), അതിന്റെ ക്രമീകരണങ്ങൾ മാറ്റുന്നു (അനുവദിക്കുന്നു റൂട്ട് ലോഗിൻ, കീ ആധികാരികത) കൂടാതെ ഉപയോക്താവിനെ റൂട്ടിലേക്ക് സജ്ജമാക്കുന്നു RSA കീ, ഇത് SSH വഴി സിസ്റ്റത്തിലേക്ക് പ്രത്യേക പ്രവേശനം നൽകുന്നു.

ബാക്ക്‌ഡോർ സജ്ജീകരിച്ച ശേഷം, മറ്റ് ദുർബലമായ സെർവറുകൾ തിരിച്ചറിയുന്നതിനായി ഒരു പോർട്ട് സ്കാനർ സിസ്റ്റത്തിൽ ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ട്. സിസ്റ്റം നിലവിലുള്ള ഖനന സംവിധാനങ്ങൾക്കായി തിരയുന്നു, തിരിച്ചറിഞ്ഞാൽ അവ ഇല്ലാതാക്കപ്പെടും. അവസാന ഘട്ടത്തിൽ, നിങ്ങളുടെ സ്വന്തം ഖനിത്തൊഴിലാളി ക്രോണ്ടാബിൽ ഡൗൺലോഡ് ചെയ്യുകയും രജിസ്റ്റർ ചെയ്യുകയും ചെയ്യുന്നു. മൈനർ ഒരു ഐക്കോ ഫയലിന്റെ മറവിൽ ഡൗൺലോഡ് ചെയ്‌തിരിക്കുന്നു (വാസ്തവത്തിൽ ഇത് പാസ്‌വേഡ് "നോ-പാസ്‌വേഡ്" ഉള്ള ഒരു zip ആർക്കൈവാണ്), Glibc 2.7+ ഉള്ള Linux-നായി ELF ഫോർമാറ്റിൽ ഒരു എക്‌സിക്യൂട്ടബിൾ ഫയൽ അടങ്ങിയിരിക്കുന്നു.

അവലംബം: opennet.ru