Útok naďalej naberá na obrátkach.„, počas ktorého neznámi útočníci ničia dáta vo verejne prístupných, nechránených inštaláciách Elasticsearch a MongoDB. Ojedinelé vymazania (približne 3 % všetkých obetí) boli zaznamenané aj pre nechránené databázy založené na Apache Cassandra, CouchDB, Redis, Hadoop a Apache ZooKeeper. Útok sa vykonáva prostredníctvom bota, ktorý vymenúva typické sieťové porty DBMS. Vyšetrovanie útoku na falošný honeypot server odhalilo, že pripojenie bota cez ProtonVPN. Zatiaľ čo 22. júla bolo zaznamenaných približne 1 000 vzdialených databáz, počet postihnutých systémov 23. júla až do približne 2500 a včera hranicu 3800, ale dnes klesla na 3750.
Problém vzniká otvorením verejného prístupu k databáze bez správnej konfigurácie autentifikácie. Kvôli chybe alebo nedbanlivosti sa obslužný program požiadaviek neviaže na internú adresu 127.0.0.1 (localhost), ale na všetky sieťové rozhrania vrátane externého. V MongoDB je toto správanie uľahčené predvoleným príkladom konfigurácie a v Elasticsearch pred vydaním Bezplatná verzia vôbec nepodporovala riadenie prístupu.
Orientačné Prípad týkajúci sa poskytovateľa VPN UFO, u ktorého sa zistilo, že má verejne dostupnú databázu Elasticsearch s veľkosťou 894 GB. Poskytovateľ tvrdil, že sa zaviazal chrániť súkromie používateľov a neuchovávať žiadne záznamy. Na rozdiel od tohto tvrdenia uniknutá databáza obsahovala záznamy vrátane IP adries, časových pečiatok relácií, informácií o polohe používateľa, informácií o operačnom systéme a zariadení a zoznamov domén na vkladanie reklám do nechránenej HTTP prevádzky. Databáza ďalej obsahovala heslá v otvorenom texte a kľúče relácií, ktoré sa dali použiť na dešifrovanie zachytených relácií.
Poskytovateľ UFO bol o probléme informovaný 1. júla, ale správa zostala dva týždne nezodpovedaná. Ďalšia žiadosť bola poskytovateľovi hostingu odoslaná 14. júla, po čom bola databáza zabezpečená 15. júla. 20. júla sa databáza opäť objavila verejne na inej IP adrese. V priebehu niekoľkých hodín boli takmer všetky údaje v databáze vymazané. Analýza tohto vymazania odhalila, že súviselo s rozsiahlym útokom s názvom „Meow“ podľa indexov, ktoré v databáze zostali po vymazaní. Vyhľadávanie Shodan Cieľom odstránenia bolo aj niekoľko stoviek ďalších serverov. Počet odstránených databáz sa v súčasnosti blíži k 4 000.
Zdroj: opennet.ru
