ਕਮਜ਼ੋਰ ਐਗਜ਼ਿਮ-ਅਧਾਰਿਤ ਮੇਲ ਸਰਵਰਾਂ 'ਤੇ ਬਲਕ ਹਮਲਾ

Cybereason ਤੋਂ ਸੁਰੱਖਿਆ ਖੋਜਕਰਤਾਵਾਂ ਚੇਤਾਵਨੀ ਦਿੱਤੀ ਇੱਕ ਵਿਸ਼ਾਲ ਸਵੈਚਾਲਿਤ ਹਮਲੇ ਦੇ ਸ਼ੋਸ਼ਣ ਦੀ ਪਛਾਣ ਕਰਨ ਬਾਰੇ ਮੇਲ ਸਰਵਰ ਪ੍ਰਸ਼ਾਸਕ ਨਾਜ਼ੁਕ ਕਮਜ਼ੋਰੀ (CVE-2019-10149) ਐਗਜ਼ਿਮ ਵਿੱਚ, ਪਿਛਲੇ ਹਫਤੇ ਖੋਜਿਆ ਗਿਆ ਸੀ। ਹਮਲੇ ਦੇ ਦੌਰਾਨ, ਹਮਲਾਵਰ ਰੂਟ ਅਧਿਕਾਰਾਂ ਦੇ ਨਾਲ ਆਪਣੇ ਕੋਡ ਨੂੰ ਲਾਗੂ ਕਰਦੇ ਹਨ ਅਤੇ ਮਾਈਨਿੰਗ ਕ੍ਰਿਪਟੋਕੁਰੰਸੀ ਲਈ ਸਰਵਰ 'ਤੇ ਮਾਲਵੇਅਰ ਸਥਾਪਤ ਕਰਦੇ ਹਨ।

ਜੂਨ ਦੇ ਅਨੁਸਾਰ ਆਟੋਮੈਟਿਕ ਸਰਵੇਖਣ ਐਗਜ਼ਿਮ ਦਾ ਸ਼ੇਅਰ 57.05% (ਇੱਕ ਸਾਲ ਪਹਿਲਾਂ 56.56%), ਪੋਸਟਫਿਕਸ ਮੇਲ ਸਰਵਰਾਂ ਦੇ 34.52% (33.79%) 'ਤੇ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ, Sendmail - 4.05% (4.59%), Microsoft Exchange - 0.57% (0.85%). ਨਾਲ ਡੇਟਾ ਸ਼ੋਡਨ ਸੇਵਾ ਗਲੋਬਲ ਨੈੱਟਵਰਕ 'ਤੇ 3.6 ਮਿਲੀਅਨ ਤੋਂ ਵੱਧ ਮੇਲ ਸਰਵਰਾਂ ਲਈ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਕਮਜ਼ੋਰ ਰਹਿੰਦੀ ਹੈ ਜੋ ਕਿ ਐਗਜ਼ਿਮ 4.92 ਦੇ ਨਵੀਨਤਮ ਮੌਜੂਦਾ ਰੀਲੀਜ਼ ਲਈ ਅੱਪਡੇਟ ਨਹੀਂ ਕੀਤੇ ਗਏ ਹਨ। ਲਗਭਗ 2 ਮਿਲੀਅਨ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਕਮਜ਼ੋਰ ਸਰਵਰ ਸੰਯੁਕਤ ਰਾਜ ਵਿੱਚ ਸਥਿਤ ਹਨ, ਰੂਸ ਵਿੱਚ 192 ਹਜ਼ਾਰ. ਨਾਲ ਜਾਣਕਾਰੀ RiskIQ ਕੰਪਨੀ ਪਹਿਲਾਂ ਹੀ ਐਗਜ਼ਿਮ ਦੇ ਨਾਲ 4.92% ਸਰਵਰਾਂ ਦੇ ਸੰਸਕਰਣ 70 'ਤੇ ਸਵਿਚ ਕਰ ਚੁੱਕੀ ਹੈ।

ਪ੍ਰਸ਼ਾਸਕਾਂ ਨੂੰ ਸਲਾਹ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ ਕਿ ਉਹ ਤੁਰੰਤ ਅੱਪਡੇਟ ਸਥਾਪਤ ਕਰਨ ਜੋ ਪਿਛਲੇ ਹਫ਼ਤੇ ਵੰਡ ਕਿੱਟਾਂ ਦੁਆਰਾ ਤਿਆਰ ਕੀਤੇ ਗਏ ਸਨ (Debian, Ubuntu, ਓਪਨਸੂਸੇ, ਕਤਰ Linux, ਫੇਡੋਰਾ, RHEL/ ਲਈ EPELCentOS). ਜੇਕਰ ਸਿਸਟਮ ਕੋਲ ਐਗਜ਼ਿਮ (4.87 ਤੋਂ 4.91 ਤੱਕ) ਦਾ ਕਮਜ਼ੋਰ ਸੰਸਕਰਣ ਹੈ, ਤਾਂ ਤੁਹਾਨੂੰ ਸ਼ੱਕੀ ਕਾਲਾਂ ਲਈ ਕ੍ਰੋਨਟੈਬ ਦੀ ਜਾਂਚ ਕਰਕੇ ਅਤੇ /root/ ਵਿੱਚ ਕੋਈ ਵਾਧੂ ਕੁੰਜੀਆਂ ਨਾ ਹੋਣ ਕਰਕੇ ਇਹ ਯਕੀਨੀ ਬਣਾਉਣ ਦੀ ਲੋੜ ਹੈ ਕਿ ਸਿਸਟਮ ਨਾਲ ਪਹਿਲਾਂ ਹੀ ਸਮਝੌਤਾ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ। ssh ਡਾਇਰੈਕਟਰੀ. ਇੱਕ ਹਮਲੇ ਨੂੰ ਹੋਸਟਾਂ an7kmd2wp4xo7hpr.tor2web.su, an7kmd2wp4xo7hpr.tor2web.io ਅਤੇ an7kmd2wp4xo7hpr.onion.sh, ਜੋ ਕਿ ਵੇਅਰ ਡਾਊਨਲੋਡ ਕਰਨ ਲਈ ਵਰਤੇ ਜਾਂਦੇ ਹਨ, ਦੇ ਫਾਇਰਵਾਲ ਲੌਗ ਵਿੱਚ ਮੌਜੂਦਗੀ ਦੁਆਰਾ ਵੀ ਦਰਸਾਏ ਜਾ ਸਕਦੇ ਹਨ।

ਐਗਜ਼ਿਮ ਸਰਵਰਾਂ 'ਤੇ ਹਮਲਾ ਕਰਨ ਦੀ ਪਹਿਲੀ ਕੋਸ਼ਿਸ਼ ਸਥਿਰ 9 ਜੂਨ ਨੂੰ। 13 ਜੂਨ ਦੇ ਹਮਲੇ ਤੱਕ ਸਵੀਕਾਰ ਕਰ ਲਿਆ ਹੈ ਪੁੰਜ ਅੱਖਰ tor2web ਗੇਟਵੇਜ਼ ਦੁਆਰਾ ਕਮਜ਼ੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਇੱਕ ਸਕ੍ਰਿਪਟ ਟੋਰ ਲੁਕਵੀਂ ਸੇਵਾ (an7kmd2wp4xo7hpr) ਤੋਂ ਡਾਊਨਲੋਡ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਜੋ OpenSSH (ਜੇ ਨਹੀਂ ਤਾਂ) ਦੀ ਮੌਜੂਦਗੀ ਦੀ ਜਾਂਚ ਕਰਦੀ ਹੈ ਸੈੱਟ), ਇਸ ਦੀਆਂ ਸੈਟਿੰਗਾਂ ਨੂੰ ਬਦਲਦਾ ਹੈ (ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ ਰੂਟ ਲਾਗਇਨ ਅਤੇ ਕੁੰਜੀ ਪ੍ਰਮਾਣਿਕਤਾ) ਅਤੇ ਉਪਭੋਗਤਾ ਨੂੰ ਰੂਟ 'ਤੇ ਸੈੱਟ ਕਰਦਾ ਹੈ RSA ਕੁੰਜੀ, ਜੋ SSH ਦੁਆਰਾ ਸਿਸਟਮ ਨੂੰ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ।

ਬੈਕਡੋਰ ਨੂੰ ਕੌਂਫਿਗਰ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਹੋਰ ਕਮਜ਼ੋਰ ਸਰਵਰਾਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਲਈ ਸਿਸਟਮ 'ਤੇ ਇੱਕ ਪੋਰਟ ਸਕੈਨਰ ਸਥਾਪਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਸਿਸਟਮ ਨੂੰ ਮੌਜੂਦਾ ਮਾਈਨਿੰਗ ਸਿਸਟਮਾਂ ਲਈ ਵੀ ਸਕੈਨ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜੋ ਖੋਜੇ ਜਾਣ 'ਤੇ ਹਟਾ ਦਿੱਤੇ ਜਾਂਦੇ ਹਨ। ਅੰਤਮ ਕਦਮ ਕ੍ਰੋਨਟੈਬ ਵਿੱਚ ਇੱਕ ਕਸਟਮ ਮਾਈਨਰ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨਾ ਅਤੇ ਜੋੜਨਾ ਹੈ। ਮਾਈਨਰ ਨੂੰ ਇੱਕ .ico ਫਾਈਲ (ਅਸਲ ਵਿੱਚ ਪਾਸਵਰਡ "ਨੋ-ਪਾਸਵਰਡ" ਵਾਲਾ ਇੱਕ ਜ਼ਿਪ ਆਰਕਾਈਵ) ਦੇ ਰੂਪ ਵਿੱਚ ਡਾਊਨਲੋਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜਿਸ ਵਿੱਚ ELF ਫਾਰਮੈਟ ਵਿੱਚ ਇੱਕ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਹੁੰਦੀ ਹੈ। Linux Glibc 2.7+ ਦੇ ਨਾਲ।

ਸਰੋਤ: opennet.ru