تم تحديث Sustes الضارة وهي تنتشر الآن من خلال ثغرة Exim (CVE-2019-10149)

تم تحديث Sustes الضارة وهي تنتشر الآن من خلال ثغرة Exim (CVE-2019-10149).

تستخدم موجة جديدة من عمال المناجم المشفرين Sustes الآن ثغرة شهر يونيو في خادم بريد Exim للعدوى. بدءًا من 11 أغسطس ، تكتشف أجهزة استشعار شبكة PT Network Attack Discovery محاولات تشغيل خوادم البريد في حركة مرور الشبكة الواردة.

يتم إجراء المسح من العنوان 154.16.67 [.] 133 ، ويؤدي الأمر في الحقل RCPT TO إلى تنزيل البرنامج النصي bash الخبيث في hxxp: //154.16.67 [.] 136 / main1. ينتج عن سلسلة من البرامج النصية تثبيت منجم XMR على المضيف وإضافته إلى crontab. يضيف البرنامج النصي مفتاح SSH العمومي الخاص به إلى قائمة مفاتيح التصرف للمستخدم الحالي ، مما سيسمح للمهاجمين بالوصول إلى SSH بدون كلمة مرور إلى الجهاز في المستقبل.

بالإضافة إلى ذلك ، يحاول Sustes الانتشار إلى مضيفين آخرين من قائمة known_hosts عبر SSH؛ في الوقت نفسه ، من المتوقع أن يتم الاتصال بهم تلقائيًا بواسطة المفتاح العمومي. تتكرر عملية الإصابة مرة أخرى على مضيفي SSH المتاحين.



هناك طريقة أخرى للتوزيع. تنفذ Sustes سلسلة من البرامج النصية لـ Python ، وآخرها - hxxp: //154.16.67 [.] 135 / src / sc - يحتوي على ماسح ضوئي لخادم Redis عشوائي يضيف نفسه أيضًا إلى crontab للتشغيل التلقائي ومفتاحه إلى قائمة SSH الموثوقة مفاتيح على خوادم Redis الضعيفة:

x = s2.connect_ex((self.host, 6379)) … stt2=chkdir(s2, '/etc/cron.d') rs=rd(s2, 'config set dbfilename crontab\r\n') rs=rd(s2, 'config set dbfilename authorized_keys\r\n') stt3=chkdir(s2, '/root/.ssh') 

يعد التخلص من البرامج الضارة Sustes أمرًا بسيطًا للغاية: قم بإزالة الملفات والبرامج النصية الضارة بالأسماء من القائمة أدناه ، وقم أيضًا بمسح ملفات crontab و known_hosts من الإدخالات الضارة. تستغل Sustes الثغرات الأمنية الأخرى للإصابة ، على سبيل المثال ، ثغرة أمنية في Hadoop YARN ResourceManager ، أو تستخدم القوة الغاشمة للحساب.