ਕਮਜ਼ੋਰ ਐਗਜ਼ਿਮ-ਅਧਾਰਿਤ ਮੇਲ ਸਰਵਰਾਂ 'ਤੇ ਬਲਕ ਹਮਲਾ

Cybereason ਤੋਂ ਸੁਰੱਖਿਆ ਖੋਜਕਰਤਾਵਾਂ ਚੇਤਾਵਨੀ ਦਿੱਤੀ ਇੱਕ ਵਿਸ਼ਾਲ ਸਵੈਚਾਲਿਤ ਹਮਲੇ ਦੇ ਸ਼ੋਸ਼ਣ ਦੀ ਪਛਾਣ ਕਰਨ ਬਾਰੇ ਮੇਲ ਸਰਵਰ ਪ੍ਰਸ਼ਾਸਕ ਨਾਜ਼ੁਕ ਕਮਜ਼ੋਰੀ (CVE-2019-10149) ਐਗਜ਼ਿਮ ਵਿੱਚ, ਪਿਛਲੇ ਹਫਤੇ ਖੋਜਿਆ ਗਿਆ ਸੀ। ਹਮਲੇ ਦੇ ਦੌਰਾਨ, ਹਮਲਾਵਰ ਰੂਟ ਅਧਿਕਾਰਾਂ ਦੇ ਨਾਲ ਆਪਣੇ ਕੋਡ ਨੂੰ ਲਾਗੂ ਕਰਦੇ ਹਨ ਅਤੇ ਮਾਈਨਿੰਗ ਕ੍ਰਿਪਟੋਕੁਰੰਸੀ ਲਈ ਸਰਵਰ 'ਤੇ ਮਾਲਵੇਅਰ ਸਥਾਪਤ ਕਰਦੇ ਹਨ।

ਜੂਨ ਦੇ ਅਨੁਸਾਰ ਆਟੋਮੈਟਿਕ ਸਰਵੇਖਣ ਐਗਜ਼ਿਮ ਦਾ ਸ਼ੇਅਰ 57.05% (ਇੱਕ ਸਾਲ ਪਹਿਲਾਂ 56.56%), ਪੋਸਟਫਿਕਸ ਮੇਲ ਸਰਵਰਾਂ ਦੇ 34.52% (33.79%) 'ਤੇ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ, Sendmail - 4.05% (4.59%), Microsoft Exchange - 0.57% (0.85%). ਨਾਲ ਡੇਟਾ ਸ਼ੋਡਨ ਸੇਵਾ ਗਲੋਬਲ ਨੈੱਟਵਰਕ 'ਤੇ 3.6 ਮਿਲੀਅਨ ਤੋਂ ਵੱਧ ਮੇਲ ਸਰਵਰਾਂ ਲਈ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਕਮਜ਼ੋਰ ਰਹਿੰਦੀ ਹੈ ਜੋ ਕਿ ਐਗਜ਼ਿਮ 4.92 ਦੇ ਨਵੀਨਤਮ ਮੌਜੂਦਾ ਰੀਲੀਜ਼ ਲਈ ਅੱਪਡੇਟ ਨਹੀਂ ਕੀਤੇ ਗਏ ਹਨ। ਲਗਭਗ 2 ਮਿਲੀਅਨ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਕਮਜ਼ੋਰ ਸਰਵਰ ਸੰਯੁਕਤ ਰਾਜ ਵਿੱਚ ਸਥਿਤ ਹਨ, ਰੂਸ ਵਿੱਚ 192 ਹਜ਼ਾਰ. ਨਾਲ ਜਾਣਕਾਰੀ RiskIQ ਕੰਪਨੀ ਪਹਿਲਾਂ ਹੀ ਐਗਜ਼ਿਮ ਦੇ ਨਾਲ 4.92% ਸਰਵਰਾਂ ਦੇ ਸੰਸਕਰਣ 70 'ਤੇ ਸਵਿਚ ਕਰ ਚੁੱਕੀ ਹੈ।

ਪ੍ਰਸ਼ਾਸਕਾਂ ਨੂੰ ਸਲਾਹ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ ਕਿ ਉਹ ਤੁਰੰਤ ਅੱਪਡੇਟ ਸਥਾਪਤ ਕਰਨ ਜੋ ਪਿਛਲੇ ਹਫ਼ਤੇ ਵੰਡ ਕਿੱਟਾਂ ਦੁਆਰਾ ਤਿਆਰ ਕੀਤੇ ਗਏ ਸਨ (ਡੇਬੀਅਨ, ਉਬਤੂੰ, ਓਪਨਸੂਸੇ, Arch ਲੀਨਕਸ, ਫੇਡੋਰਾ, RHEL/CentOS ਲਈ EPEL). ਜੇਕਰ ਸਿਸਟਮ ਕੋਲ ਐਗਜ਼ਿਮ (4.87 ਤੋਂ 4.91 ਤੱਕ) ਦਾ ਕਮਜ਼ੋਰ ਸੰਸਕਰਣ ਹੈ, ਤਾਂ ਤੁਹਾਨੂੰ ਸ਼ੱਕੀ ਕਾਲਾਂ ਲਈ ਕ੍ਰੋਨਟੈਬ ਦੀ ਜਾਂਚ ਕਰਕੇ ਅਤੇ /root/ ਵਿੱਚ ਕੋਈ ਵਾਧੂ ਕੁੰਜੀਆਂ ਨਾ ਹੋਣ ਕਰਕੇ ਇਹ ਯਕੀਨੀ ਬਣਾਉਣ ਦੀ ਲੋੜ ਹੈ ਕਿ ਸਿਸਟਮ ਨਾਲ ਪਹਿਲਾਂ ਹੀ ਸਮਝੌਤਾ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ। ssh ਡਾਇਰੈਕਟਰੀ. ਇੱਕ ਹਮਲੇ ਨੂੰ ਹੋਸਟਾਂ an7kmd2wp4xo7hpr.tor2web.su, an7kmd2wp4xo7hpr.tor2web.io ਅਤੇ an7kmd2wp4xo7hpr.onion.sh, ਜੋ ਕਿ ਵੇਅਰ ਡਾਊਨਲੋਡ ਕਰਨ ਲਈ ਵਰਤੇ ਜਾਂਦੇ ਹਨ, ਦੇ ਫਾਇਰਵਾਲ ਲੌਗ ਵਿੱਚ ਮੌਜੂਦਗੀ ਦੁਆਰਾ ਵੀ ਦਰਸਾਏ ਜਾ ਸਕਦੇ ਹਨ।

ਐਗਜ਼ਿਮ ਸਰਵਰਾਂ 'ਤੇ ਹਮਲਾ ਕਰਨ ਦੀ ਪਹਿਲੀ ਕੋਸ਼ਿਸ਼ ਸਥਿਰ 9 ਜੂਨ ਨੂੰ। 13 ਜੂਨ ਦੇ ਹਮਲੇ ਤੱਕ ਸਵੀਕਾਰ ਕਰ ਲਿਆ ਹੈ ਪੁੰਜ ਅੱਖਰ tor2web ਗੇਟਵੇਜ਼ ਦੁਆਰਾ ਕਮਜ਼ੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਇੱਕ ਸਕ੍ਰਿਪਟ ਟੋਰ ਲੁਕਵੀਂ ਸੇਵਾ (an7kmd2wp4xo7hpr) ਤੋਂ ਡਾਊਨਲੋਡ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਜੋ OpenSSH (ਜੇ ਨਹੀਂ ਤਾਂ) ਦੀ ਮੌਜੂਦਗੀ ਦੀ ਜਾਂਚ ਕਰਦੀ ਹੈ ਸੈੱਟ), ਇਸ ਦੀਆਂ ਸੈਟਿੰਗਾਂ ਨੂੰ ਬਦਲਦਾ ਹੈ (ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ ਰੂਟ ਲਾਗਇਨ ਅਤੇ ਕੁੰਜੀ ਪ੍ਰਮਾਣਿਕਤਾ) ਅਤੇ ਉਪਭੋਗਤਾ ਨੂੰ ਰੂਟ 'ਤੇ ਸੈੱਟ ਕਰਦਾ ਹੈ RSA ਕੁੰਜੀ, ਜੋ SSH ਦੁਆਰਾ ਸਿਸਟਮ ਨੂੰ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ।

ਬੈਕਡੋਰ ਸਥਾਪਤ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਦੂਜੇ ਕਮਜ਼ੋਰ ਸਰਵਰਾਂ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਸਿਸਟਮ 'ਤੇ ਇੱਕ ਪੋਰਟ ਸਕੈਨਰ ਸਥਾਪਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਸਿਸਟਮ ਨੂੰ ਮੌਜੂਦਾ ਮਾਈਨਿੰਗ ਪ੍ਰਣਾਲੀਆਂ ਲਈ ਵੀ ਖੋਜਿਆ ਜਾਂਦਾ ਹੈ, ਜੋ ਪਛਾਣੇ ਜਾਣ 'ਤੇ ਮਿਟਾ ਦਿੱਤੇ ਜਾਂਦੇ ਹਨ। ਆਖਰੀ ਪੜਾਅ 'ਤੇ, ਤੁਹਾਡਾ ਆਪਣਾ ਮਾਈਨਰ ਕ੍ਰੋਨਟੈਬ ਵਿੱਚ ਡਾਊਨਲੋਡ ਅਤੇ ਰਜਿਸਟਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਮਾਈਨਰ ਨੂੰ ਇੱਕ ico ਫਾਈਲ ਦੀ ਆੜ ਵਿੱਚ ਡਾਊਨਲੋਡ ਕੀਤਾ ਜਾਂਦਾ ਹੈ (ਅਸਲ ਵਿੱਚ ਇਹ ਪਾਸਵਰਡ "ਨੋ-ਪਾਸਵਰਡ" ਵਾਲਾ ਇੱਕ ਜ਼ਿਪ ਆਰਕਾਈਵ ਹੈ), ਜਿਸ ਵਿੱਚ Glibc 2.7+ ਦੇ ਨਾਲ ਲੀਨਕਸ ਲਈ ELF ਫਾਰਮੈਟ ਵਿੱਚ ਇੱਕ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਹੈ।

ਸਰੋਤ: opennet.ru