Under attack, Meow has removed around 4000 publicly available Elasticsearch and MongoDB databases.

The attack "Meow" continues to gain momentum, during which unknown attackers are destroying data in publicly accessible unprotected installations of Elasticsearch and MongoDB. Isolated cases of deletion (around 3% of all victims) have also been recorded for unprotected databases based on Apache Cassandra, CouchDB, Redis, Hadoop, and Apache ZooKeeper. The attack is carried out through a bot that cycles through standard database network ports. An investigation of the attack on a fake honeypot server showed that the bot's connection is established via ProtonVPN. While on July 22, around 1000 remote databases were recorded, by July 23, the number of affected systems increased to approximately 2500, and yesterday exceeded the mark of 3800, but today it has decreased to 3750.

The cause of the problems is the opening of public access to the database without proper authentication configuration. By mistake or negligence, the request handler is bound not to the internal address 127.0.0.1 (localhost) but to all network interfaces, including external ones. In MongoDB, this behavior is supported by default settings, while in Elasticsearch, access restriction tools were not supported at all in the free version. 6.8 Noteworthy

is the story with the VPN provider UFO, which had a publicly accessible Elasticsearch database of 894GB. The provider positioned itself as caring about user privacy and not keeping logs. Contrary to the claim, the exposed database contained logs, including information about IP addresses, session bindings to time, user location tags, information about the operating system and user device, and lists of domains for ad placement in unprotected HTTP traffic. Moreover, the database contained access passwords in plain text and session keys that allowed the decryption of intercepted sessions. med VPN-leverantören UFO, som hade en offentligt tillgänglig Elasticsearch-databas av en storlek på 894 GB. Leverantören positionerade sig som en som bryr sig om användarnas integritet och inte sparar loggar. Trots detta innehöll den läckta databasen loggar som inkluderade information om IP-adresser, kopplingar mellan sessioner och tid, användarens platsdata, information om operativsystem och enhet, samt listor över domäner för reklaminjicering i osäker HTTP-trafik. Dessutom fanns det lösenord som var synliga i klartext och sessionsnycklar som möjliggjorde dekryptering av avlyssnade sessioner.

Leverantören UFO informerades om problemet den 1 juli, men under två veckor förblev meddelandet obesvarat och den 14 juli skickades en annan förfrågan till webbhotellleverantören, varefter databasen skyddades den 15 juli. Den 20 juli dök denna databas återigen upp i offentlig tillgång på en annan IP. Inom några timmar raderades nästan all data i databasen. Analysen av denna radering visade att den var kopplad till en massattack, som fått namnet Meow efter namnen på index som lämnades kvar i databasen efter raderingen. Sökningen genom Shodan-tjänsten att det är enkelt att få ett EV-certifikat i namn av 'Stripe, Inc' (ett populärt betalsystem) bara genom att registrera ett företag med samma namn i en annan stat. För att upptäcka skillnaden måste man i alla fall se över detaljerna om webbplatsen – informationen från adressfältet är otillräcklig. En annan forskare, James Burton, fick certifikatet i namn av sitt registrerade företag 'Identity Verified', vilket också lätt kan vilseleda användare., vilket avslöjar att även flera hundra servrar blev offer för raderingen. Antalet raderade databaser ligger nu nära 4000.

Källa: opennet.ru