Malicious Sustes wurde aktualisiert und verbreitet sich nun über die Sicherheitslücke von Exim (CVE-2019-10149).

Malicious Sustes wurde aktualisiert und verbreitet sich nun über die Sicherheitslücke von Exim (CVE-2019-10149).

Eine neue Welle von Crypto Miner Sustes nutzt jetzt die June-Sicherheitsanfälligkeit im Exim-Mailserver für Infektionen. Ab dem 11. August erkennen unsere PT Network Attack Discovery- Netzwerksensoren Versuche, Mailserver im eingehenden Netzwerkverkehr zu betreiben.

Das Scannen erfolgt von der Adresse 154.16.67 [.] 133, und der Befehl im Feld RCPT TO lädt das schädliche Bash-Skript unter der Adresse hxxp: //154.16.67 [.] 136 / main1. Eine Kette von Skripten führt dazu, dass ein XMR-Miner auf dem Host installiert und zu crontab hinzugefügt wird. Das Skript fügt seinen öffentlichen SSH-Schlüssel zur Liste der autorisierten Schlüssel des aktuellen Benutzers hinzu, sodass Angreifer künftig einen kennwortlosen SSH-Zugriff auf den Computer erhalten können.

Darüber hinaus versucht Sustes, über SSH aus der Liste "unknown_hosts" auf andere Hosts zu übertragen. Gleichzeitig wird erwartet, dass die Verbindung zu ihnen automatisch über den öffentlichen Schlüssel hergestellt wird. Der Infektionsprozess wird auf verfügbaren SSH-Hosts erneut wiederholt.



Es gibt eine andere Art der Verteilung. Sustes führt eine Kette von Python-Skripten aus, von denen die letzte - hxxp: //154.16.67 [.] 135 / src / sc - einen zufälligen Redis-Serverscanner enthält, der sich auch für autorun zu crontab hinzufügt und dessen Schlüssel zur Liste der vertrauenswürdigen SSH- Schlüssel auf anfälligen Redis-Servern:

x = s2.connect_ex((self.host, 6379)) … stt2=chkdir(s2, '/etc/cron.d') rs=rd(s2, 'config set dbfilename crontab\r\n') rs=rd(s2, 'config set dbfilename authorized_keys\r\n') stt3=chkdir(s2, '/root/.ssh') 

Das Entfernen der Malware Sustes ist ganz einfach: Entfernen Sie die schädlichen Dateien und Skripte mit den Namen aus der folgenden Liste und löschen Sie auch die Dateien crontab und unknown_hosts aus den schädlichen Einträgen. Sustes nutzt andere Sicherheitsanfälligkeiten aus, um beispielsweise eine Sicherheitsanfälligkeit im Hadoop YARN ResourceManager zu infizieren, oder verwendet Account Brute Force.