कमजोर एक्जिम-आधारित मेल सर्भरहरूमा बल्क आक्रमण

साइबरेसन सुरक्षा अनुसन्धानकर्ताहरू चेतावनी दिए मेल सर्भरका प्रशासकहरूले शोषण गर्ने ठूलो स्वचालित आक्रमणको पत्ता लगाउने बारे महत्वपूर्ण जोखिम (CVE-2019-10149) Exim मा, गत हप्ता पहिचान गरियो। आक्रमणको समयमा, आक्रमणकारीहरूले रूटको रूपमा आफ्नो कोडको कार्यान्वयन प्राप्त गर्छन् र क्रिप्टोकरेन्सीहरू खननको लागि सर्भरमा मालवेयर स्थापना गर्छन्।

जुन अनुसार स्वचालित सर्वेक्षण Exim को शेयर 57.05% (एक वर्ष पहिले 56.56%), पोस्टफिक्स मेल सर्भर को 34.52% (33.79%), Sendmail - 4.05% (4.59%), माइक्रोसफ्ट एक्सचेन्ज - 0.57% (0.85%) मा प्रयोग गरिन्छ। द्वारा दिईयो Shodan सेवाको, विश्वव्यापी नेटवर्कमा 3.6 मिलियन भन्दा बढी मेल सर्भरहरू सम्भावित रूपमा कमजोर रहन्छन्, जुन एक्जिम 4.92 को नवीनतम हालको रिलीजमा अद्यावधिक गरिएको छैन। लगभग 2 मिलियन सम्भावित रूपमा कमजोर सर्भरहरू अमेरिकामा अवस्थित छन्, रसियामा 192 हजार। द्वारा जानकारी RiskIQ ले पहिले नै 4.92% Exim सर्भरहरू संस्करण 70 मा अपग्रेड गरिसकेको छ।

प्रशासकहरूलाई गत हप्ता वितरणद्वारा तयार गरिएका अद्यावधिकहरू तत्काल स्थापना गर्न सल्लाह दिइन्छ (Debian, Ubuntu, खुला SUSE, आर्क लिनक्स, फेडोरा, RHEL/CentOS को लागि EPEL)। यदि प्रणालीसँग Exim को कमजोर संस्करण छ (4.87 देखि 4.91 सम्म समावेशी), तपाइँले संदिग्ध कलहरूको लागि crontab जाँच गरेर प्रणाली पहिले नै सम्झौता गरिएको छैन भनेर सुनिश्चित गर्न आवश्यक छ र /root/ मा कुनै अतिरिक्त कुञ्जीहरू छैनन् भनेर सुनिश्चित गर्न आवश्यक छ। ssh निर्देशिका। आक्रमणलाई होस्टहरू an7kmd2wp4xo7hpr.tor2web.su, an7kmd2wp4xo7hpr.tor2web.io र an7kmd2wp4xo7hpr.onion.sh बाट गतिविधिको फायरवाल लगमा उपस्थितिबाट पनि संकेत गर्न सकिन्छ, जुन वेयर डाउनलोड प्रक्रियामा प्रयोग गरिन्छ।

Exim सर्भरहरूमा पहिलो आक्रमण निश्चित जुन ९ गते । जुन 9 मा आक्रमण लिए मास चरित्र। tor2web गेटवे मार्फत जोखिमको शोषण गरेपछि, टोर लुकेको सेवा (an7kmd2wp4xo7hpr) बाट एउटा स्क्रिप्ट लोड हुन्छ जसले OpenSSH (यदि होइन भने) को उपस्थिति जाँच गर्दछ। स्थापना गर्दछ), यसको सेटिङहरू परिवर्तन गर्दछ (अनुमति दिन्छ रूट लगइन र कुञ्जी प्रमाणीकरण) र रूट प्रयोगकर्तालाई सेट गर्दछ RSA कुञ्जीA जसले SSH मार्फत प्रणालीमा विशेषाधिकार प्राप्त पहुँच प्रदान गर्दछ।

ब्याकडोर सेटअप गरेपछि, अन्य कमजोर सर्भरहरू पहिचान गर्न प्रणालीमा पोर्ट स्क्यानर स्थापना गरिन्छ। यसले अवस्थित खनन प्रणालीहरूको लागि प्रणाली पनि खोज्छ, जुन पत्ता लाग्यो भने मेटाइन्छ। अन्तिम चरणमा, तपाईंको आफ्नै खानी लोड गरिएको छ र क्रोनट्याबमा दर्ता गरिएको छ। माइनरलाई ico फाइलको आडमा डाउनलोड गरिएको छ (वास्तवमा, यो "नो-पासवर्ड" पासवर्डको साथ जिप संग्रह हो), जसले Glibc 2.7+ सँग लिनक्सको लागि ELF ढाँचामा कार्यान्वयनयोग्य फाइल प्याक गर्दछ।

स्रोत: opennet.ru