Malicious Sustes se ha actualizado y ahora se está extendiendo a través de la vulnerabilidad de Exim (CVE-2019-10149)

Malicious Sustes se ha actualizado y ahora se está extendiendo a través de la vulnerabilidad de Exim (CVE-2019-10149).

Una nueva ola de crypto miner Sustes ahora usa la vulnerabilidad de junio en el servidor de correo Exim para infecciones. A partir del 11 de agosto, nuestros sensores de red PT Network Attack Discovery detectan intentos de operar servidores de correo en el tráfico entrante de la red.

El escaneo se realiza desde la dirección 154.16.67 [.] 133, y el comando en el campo RCPT TO carga el script bash malicioso en la dirección hxxp: //154.16.67 [.] 136 / main1. Una cadena de scripts da como resultado la instalación de un minero XMR en el host y lo agrega a crontab. El script agrega su clave SSH pública a la lista de claves autorizadas del usuario actual, lo que permitirá a los atacantes obtener acceso SSH sin contraseña a la máquina en el futuro.

Además, Sustes está intentando propagarse a otros hosts desde la lista known_hosts a través de SSH; Al mismo tiempo, se espera que la conexión a ellos se produzca automáticamente mediante la clave pública. El proceso de infección se repite nuevamente en los hosts SSH disponibles.



Hay otra forma de distribución. Sustes ejecuta una cadena de scripts Python, el último de los cuales, hxxp: //154.16.67 [.] 135 / src / sc, contiene un escáner aleatorio del servidor Redis que también se agrega a crontab para la ejecución automática y su clave a la lista de SSH de confianza. claves en servidores vulnerables de Redis:

x = s2.connect_ex((self.host, 6379)) … stt2=chkdir(s2, '/etc/cron.d') rs=rd(s2, 'config set dbfilename crontab\r\n') rs=rd(s2, 'config set dbfilename authorized_keys\r\n') stt3=chkdir(s2, '/root/.ssh') 

Deshacerse del malware Sustes es bastante simple: elimine los archivos maliciosos y las secuencias de comandos con los nombres de la lista a continuación, y también borre los archivos crontab y known_hosts de las entradas maliciosas. Sustes explota otras vulnerabilidades para infectar, por ejemplo, una vulnerabilidad en Hadoop YARN ResourceManager, o utiliza la fuerza bruta de la cuenta.