Malicious Sustes a été mis à jour et se propage désormais à travers la vulnérabilité d'Exim (CVE-2019-10149)

Malicious Sustes a été mis à jour et se propage désormais à travers la vulnérabilité d'Exim (CVE-2019-10149).

Une nouvelle vague de crypto-mineur Sustes utilise désormais la vulnérabilité de juin dans le serveur de messagerie Exim pour les infections. À partir du 11 août, nos capteurs réseau PT Network Attack Discovery détectent les tentatives d'exploitation des serveurs de messagerie dans le trafic réseau entrant.

L'analyse a lieu à partir de l'adresse 154.16.67 [.] 133 et la commande dans le champ RCPT TO charge le script bash malveillant à l'adresse hxxp: //154.16.67 [.] 136 / main1. Une chaîne de scripts entraîne l'installation d'un mineur XMR sur l'hôte et son ajout à crontab. Le script ajoute sa clé SSH publique à la liste des clés autorisées de l'utilisateur actuel, ce qui permettra aux attaquants d'accéder à SSH sans mot de passe à la machine à l'avenir.

De plus, Sustes tente de se propager à d'autres hôtes de la liste known_hosts via SSH; en même temps, il est prévu que la connexion à eux se fasse automatiquement par la clé publique. Le processus d'infection est répété à nouveau sur les hôtes SSH disponibles.



Il existe un autre mode de distribution. Sustes exécute une chaîne de scripts Python, dont le dernier - hxxp: //154.16.67 [.] 135 / src / sc - contient un scanner de serveur Redis aléatoire qui s'ajoute également à crontab pour l'exécution automatique et sa clé à la liste des SSH de confiance - clés sur les serveurs Redis vulnérables:

x = s2.connect_ex((self.host, 6379)) … stt2=chkdir(s2, '/etc/cron.d') rs=rd(s2, 'config set dbfilename crontab\r\n') rs=rd(s2, 'config set dbfilename authorized_keys\r\n') stt3=chkdir(s2, '/root/.ssh') 

Se débarrasser du malware Sustes est assez simple: supprimez les fichiers et scripts malveillants avec les noms de la liste ci-dessous, et supprimez également les fichiers crontab et known_hosts des entrées malveillantes. Sustes exploite d'autres vulnérabilités pour infecter, par exemple, une vulnérabilité dans Hadoop YARN ResourceManager, ou utilise la force brute du compte.