Ataque em massa a servidores de e-mail vulneráveis com base em Exim

Pesquisadores de segurança da Cybereason avisaram administradores de servidores de e-mail sobre a identificação de um ataque automatizado em massa que explora uma vulnerabilidade crítica (CVE-2019-10149) no Exim, descoberta na semana passada. Durante o ataque, os criminosos conseguem executar seu código com privilégios de root e instalar no servidor malware para mineração de criptomoedas.

De acordo com a pesquisa automatizada de junho, a participação do Exim é de 57,05% (um ano atrás era 56,56%), o Postfix é utilizado em 34,52% (33,79%) dos servidores de e-mail, o Sendmail - 4,05% (4,59%), e o Microsoft Exchange - 0,57% (0,85%). Segundo o serviço Shodan, mais de 3,6 milhões de servidores de e-mail na rede global permanecem potencialmente vulneráveis, pois não foram atualizados para a versão mais recente do Exim 4.92. Cerca de 2 milhões de servidores potencialmente vulneráveis estão localizados nos EUA, 192 mil na Rússia. De acordo com dados a empresa RiskIQ, 70% dos servidores com Exim já migraram para a versão 4.92. Informações Os administradores são recomendados a instalar urgentemente as atualizações que foram preparadas pelos distribuidores na semana passada (

openSUSEDebian, Ubuntu, Arch Linux, EPEL para RHEL/CentOS, Fedora, ). Caso haja uma vulnerabilidade na versão do Exim (de 4.87 até 4.91, inclusive), é necessário garantir que o sistema não esteja comprometido, verificando o crontab em busca de chamadas suspeitas e confirmando a ausência de chaves adicionais no diretório /root/.ssh. A presença de atividade no log do firewall de endereços como an7kmd2wp4xo7hpr.tor2web.su, an7kmd2wp4xo7hpr.tor2web.io e an7kmd2wp4xo7hpr.onion.sh, pode indicar um ataque, utilizado no processo de carregamento de malware.As primeiras tentativas de ataque aos servidores Exim

foram registradas em 9 de junho. Até 13 de junho, o ataque assumiu caráter em massa. Após a exploração da vulnerabilidade através de gateways tor2web do serviço oculto Tor (an7kmd2wp4xo7hpr), um script é carregado que verifica a presença do OpenSSH (se não estiver presente, instala ), altera suas configurações ( acesso root e autenticação por chaves) e instala para o usuário rootuma chave RSApermite , proporcionando acesso privilegiado ao sistema via SSH. Chave RSA, fornecendo acesso privilegiado ao sistema via SSH.

Após a configuração do backdoor, é instalado um scanner de portas no sistema para identificar outros servidores vulneráveis. Também é feita uma busca no sistema por mineradores já existentes, que são removidos caso sejam encontrados. Na etapa final, um minerador próprio é baixado e registrado no crontab. O minerador é carregado na forma de um arquivo ico (na verdade, é um arquivo zip com a senha "no-password"), que contém um arquivo executável no formato ELF para Linux com Glibc 2.7+.

Fonte: opennet.ru