Continua a crescer o ataque "" durante o qual criminosos desconhecidos estão destruindo dados em instalações Elasticsearch e MongoDB desprotegidas e publicamente acessíveis. Casos isolados de limpeza (totalizando cerca de 3% de todas as vítimas) também foram registrados para bancos de dados desprotegidos baseados em Apache Cassandra, CouchDB, Redis, Hadoop e Apache ZooKeeper. O ataque é realizado através de um bot que varre portas de rede comuns de SGBD. O estudo do ataque em um servidor honeypot configurado mostrou que a conexão do bot através do ProtonVPN. Se em 22 de julho cerca de 1000 bancos de dados remotos foram registrados, em 23 de julho o número de sistemas afetados subiu para aproximadamente 2500, e ontem atingiu 3800, mas caiu hoje para 3750.
A causa do surgimento de problemas é a abertura de acesso público ao banco de dados sem a devida configuração de autenticação. Por erro ou descuido, o manipulador de solicitações é vinculado não ao endereço interno 127.0.0.1 (localhost), mas a todas as interfaces de rede, incluindo a externa. No MongoDB, esse comportamento é favorecido por exemplos de configurações fornecidas por padrão, enquanto no Elasticsearch, até a versão não havia suporte para mecanismos de controle de acesso na versão gratuita.
É revelador com o provedor de VPN UFO, que tinha um banco de dados Elasticsearch publicamente acessível com tamanho de 894GB. O provedor se posicionava como preocupado com a privacidade dos usuários e que não mantinha logs. Apesar da declaração, no banco de dados encontrado estavam presentes logs que incluíam informações sobre endereços IP, vinculação de sessões ao tempo, marcadores de localização do usuário, informações sobre o sistema operacional e dispositivo do usuário, além de listas de domínios para inserção de anúncios no tráfego HTTP desprotegido. Além disso, no banco de dados estavam presentes senhas de acesso em texto claro e chaves de sessão que permitiam decifrar sessões interceptadas.
O provedor UFO foi informado sobre o problema em 1º de julho, mas a mensagem permaneceu sem resposta por duas semanas e em 14 de julho foi enviado um novo pedido ao provedor de hospedagem, após o qual em 15 de julho o banco de dados foi protegido. Em 20 de julho, este banco de dados ressurgiu publicamente em um novo IP. Em poucas horas, quase todos os dados do banco de dados foram excluídos. A análise dessa exclusão mostrou que estava relacionada a um ataque em massa que recebeu o nome de Meow, em homenagem aos índices deixados no banco de dados após a exclusão. A busca através do serviço Shodan , que as vítimas da remoção também incluem várias centenas de servidores. Atualmente, o número de bancos de dados removidos se aproxima da marca de 4000.
Fonte: opennet.ru
