असुरक्षित एक्झिम-आधारित मेल सर्व्हरवर मोठ्या प्रमाणात हल्ला

सायबरेझन सुरक्षा संशोधक चेतावणी दिली शोषण करणाऱ्या मोठ्या स्वयंचलित हल्ल्याच्या शोधाबद्दल मेल सर्व्हरचे प्रशासक गंभीर असुरक्षा (CVE-2019-10149) एक्झिममध्ये, गेल्या आठवड्यात ओळखले गेले. हल्ल्यादरम्यान, हल्लेखोर त्यांच्या कोडची रूट म्हणून अंमलबजावणी करतात आणि क्रिप्टोकरन्सी खाण करण्यासाठी सर्व्हरवर मालवेअर स्थापित करतात.

जून स्वयंचलित सर्वेक्षण एक्झिमचा हिस्सा ५७.०५% (एक वर्षापूर्वी ५६.५६%), पोस्टफिक्स ३४.५२% (३३.७९%) मेल सर्व्हरवर, सेंडमेल - ४.०५% (४.५९%), मायक्रोसॉफ्ट एक्सचेंज - ०.५७% (०.८५%) आहे. द्वारे दिले Shodan सेवेचे, जागतिक नेटवर्कमधील 3.6 दशलक्षाहून अधिक मेल सर्व्हर संभाव्य असुरक्षित आहेत, जे Exim 4.92 च्या नवीनतम वर्तमान प्रकाशनासाठी अद्यतनित केलेले नाहीत. सुमारे 2 दशलक्ष संभाव्य असुरक्षित सर्व्हर यूएस मध्ये स्थित आहेत, 192 हजार रशिया मध्ये. द्वारे माहिती RiskIQ ने आधीच 4.92% Exim सर्व्हर आवृत्ती 70 वर अपग्रेड केले आहेत.

प्रशासकांना गेल्या आठवड्यात वितरणाद्वारे तयार केलेली अद्यतने तातडीने स्थापित करण्याचा सल्ला दिला जातो (डेबियन, उबंटू, ओपन एसयूएसई, आर्क लिनक्स, Fedora, RHEL/CentOS साठी EPEL). सिस्टीममध्ये एक्झिमची असुरक्षित आवृत्ती असल्यास (4.87 ते 4.91 समावेशी), तुम्हाला संशयास्पद कॉल्ससाठी क्रॉन्टॅब तपासून सिस्टम आधीच तडजोड केलेली नाही याची खात्री करणे आवश्यक आहे आणि /root/ मध्ये कोणत्याही अतिरिक्त की नाहीत याची खात्री करा. ssh निर्देशिका. वेअर डाउनलोड प्रक्रियेदरम्यान वापरल्या जाणार्‍या an7kmd2wp4xo7hpr.tor2web.su, an7kmd2wp4xo7hpr.tor2web.io आणि an7kmd2wp4xo7hpr.onion.sh यजमानांकडील क्रियाकलापांच्या फायरवॉल लॉगमधील उपस्थितीद्वारे देखील आक्रमण सूचित केले जाऊ शकते.

एक्झिम सर्व्हरवर पहिला हल्ला निश्चित 9 जून. 13 जूनपर्यंत हल्ला स्वीकारले आहे वस्तुमान वर्ण tor2web गेटवेद्वारे असुरक्षिततेचा फायदा घेतल्यानंतर, Tor लपविलेल्या सेवेतून (an7kmd2wp4xo7hpr) स्क्रिप्ट लोड केली जाते जी OpenSSH ची उपस्थिती तपासते (जर नसेल तर संच), त्याची सेटिंग्ज बदलते (परवानगी देते रूट लॉगिन आणि की प्रमाणीकरण) आणि रूट वापरकर्त्यास सेट करते RSA कीA जो SSH द्वारे सिस्टममध्ये विशेषाधिकार प्राप्त प्रवेश मंजूर करतो.

बॅकडोअर सेट केल्यानंतर, इतर असुरक्षित सर्व्हर ओळखण्यासाठी सिस्टममध्ये एक पोर्ट स्कॅनर स्थापित केला जातो. हे विद्यमान खाण प्रणालींसाठी देखील प्रणाली शोधते, जे आढळल्यास हटविले जाते. शेवटच्या टप्प्यावर, तुमचा स्वतःचा खाण कामगार क्रॉन्टॅबमध्ये लोड आणि नोंदणीकृत आहे. खाणकामगार ico फाइलच्या वेषात डाउनलोड केले जाते (खरेतर, ते "नो-पासवर्ड" पासवर्डसह झिप संग्रहण आहे), जे Glibc 2.7+ सह Linux साठी ELF फॉरमॅटमध्ये एक्झिक्युटेबल फाइल पॅक करते.

स्त्रोत: opennet.ru