पॉजिटिव टेक्नॉलॉजीज़ एक्सपर्ट्स कंफ्लुएंस में महत्वपूर्ण शोषण के लिए सामूहिक शोषण के प्रयासों की पहचान करते हैं

छवि: ज्ञात 404 टीम

नाउनसेक 404 टीम के सूचना सुरक्षा शोधकर्ताओं ने मार्च में खोजी गई कंफ्यूजन भेद्यता के लिए पैच की जांच की और इसका फायदा उठाने के लिए एक कोड प्रकाशित किया। इस सुरक्षा त्रुटि का उपयोग हमलावरों को कंफ्लुएंस सर्वर पर किसी भी कमांड को निष्पादित करने और मैलवेयर डाउनलोड करने की क्षमता प्राप्त करने की अनुमति देता है।

भेद्यता के लिए शोषण के प्रकाशन के तुरंत बाद, पीटी ईएससी विशेषज्ञों ने इसका फायदा उठाने के लिए एक बड़े प्रयास की खोज की। हम आपको बताते हैं कि समस्या क्या है और अपनी सुरक्षा कैसे करें।

क्या समस्या है

कंफर्टेबल सर्वर में विजेट कनेक्टर मॉड्यूल के कोड में त्रुटि के कारण वल्नेरेबिलिटी CVE-2019-3396 हुई। इसकी मदद से, एक हमलावर कमजोर कॉन्फ्लुएंस को अपने सर्वर से दुर्भावनापूर्ण टेम्पलेट डाउनलोड करने और किसी भी आदेश को निष्पादित करने के लिए मजबूर कर सकता है। हमले को सर्वर पर प्राधिकरण की आवश्यकता नहीं है।

एटलसियन कॉन्फ्लुएंस डेवलपर्स द्वारा प्रकाशित एक सुरक्षा बुलेटिन में , भेद्यता का वर्णन इस प्रकार है:

एक हमलावर सर्विस साइड पर टेम्प्लेट इंजेक्ट करने के लिए भेद्यता का फायदा उठा सकता है, पथ को कमजोर कर सकता है और सिस्टम पर कमजोर कनफ्लुएंस सर्वर और डेटा सर्वर के साथ कोड निष्पादित कर सकता है।

इसके अलावा, Assetnote और DEVCORE के शोधकर्ताओं ने WebDAV प्लगइन में भेद्यता CVE-2019-3395 की खोज की। यह आपको सर्वर साइड (सर्वर साइड रिक्वेस्ट फोर्जरी, एसएसआरएफ) पर नकली प्रश्नों की अनुमति देता है। हैकर्स कंफ़्लुएंस सर्वर और डेटा सर्वर के असुरक्षित उदाहरणों से यादृच्छिक HTTP और WebDAV अनुरोध भेज सकते हैं।

कमजोर सॉफ्टवेयर संस्करण:

• सभी संस्करण 1.xx, 2.xx, 3.xx, 4.xx और 5.xx
• सभी संस्करण 6.0.x, 6.1.x, 6.2.x, 6.3.x, 6.4.x, और 6.5.x
• सभी संस्करण 6.6.x से 6.6.12
• सभी संस्करण 6.7.x, 6.8.x, 6.9.x, 6.10.x और 6.11.x
• सभी संस्करण 6.12.x से 6.12.3
• सभी संस्करण 6.13.x से 6.13.3
• सभी संस्करण 6.14.x से 6.14.2

बग तय:

• संस्करण 6.6.12 और बाद के संस्करणों में 6.6.x है
• संस्करण 6.12.3 और बाद के संस्करणों में 6.12.x
• संस्करण 6.13.3 और बाद के संस्करणों में 6.13.x
• संस्करण 6.14.2 और उच्चतर में।

शोषण

भेद्यता का विवरण 10 अप्रैल को प्रकाशित किया गया था, और अगले दिन, पॉजिटिव टेक्नोलॉजीज ईएससी विशेषज्ञों ने इंटरनेट पर 8090 बंदरगाहों का एक बड़े पैमाने पर स्कैन की खोज की - यह कंफ्लुएंस सर्वर के लिए मानक बंदरगाह है।

हमले के प्रयासों का पता लगाना आसान है: यह URL / बाकी / टिनिम्स / 1 / मैक्रो / पूर्वावलोकन के लिए आने वाले POST अनुरोधों के साथ होगा और, सर्वर हैक के मामले में, .vm एक्सटेंशन के साथ एक फ़ाइल डाउनलोड करने के लिए एक हमलावर के FTP सर्वर से आउटगोइंग अनुरोध। ZoomEye की खोज सेवा के अनुसार, इंटरनेट पर कम से कम 60,000 Confluence सर्वर उपलब्ध हैं।

इसके अलावा, विशेषज्ञों ने लिनक्स स्पाइक ट्रोजन से मैलवेयर के साथ कॉन्फ्लुएंस सर्वर के संक्रमण को देखा, जिसे पहले मिब्लैक के रूप में जाना जाता था। यह एक ELF फाइल है और मुख्य रूप से DDoS हमलों के लिए अभिप्रेत है।

जब यह सिस्टम में प्रवेश करता है, तो rc.local फ़ाइल का उपयोग करके मैलवेयर को ठीक किया जाता है और हर बार संक्रमित कंप्यूटर के शुरू होने पर शुरू होता है। शुरू करने के बाद, एक अलग थ्रेड में और एक अंतहीन लूप में, यह सिस्टम के बारे में जानकारी एकत्र करता है और इसे हमलावर C2 द्वारा नियंत्रित सर्वर पर भेजता है। एकत्र किए गए डेटा के बीच प्रोसेसर, नेटवर्क इंटरफेस और चलने वाली प्रक्रियाओं के बारे में जानकारी है। उसके बाद, एक अंतहीन लूप एक अलग थ्रेड में शुरू किया जाता है, जिसमें यह सर्वर को स्ट्रिंग "VERSONEX: 1 | 1 | 1 | 1 | 1; 1" हैकर भेजता है, और जवाब में यह एक कमांड की प्रतीक्षा करता है।

मालवेयर निष्पादित कर सकने वाले कमांड निम्न हैं:

• शेल के माध्यम से कमांड निष्पादित करें
• DDOS शुरू करें
• काम खत्म करो

DDOS के लिए कमांड में सर्वर के एन्क्रिप्टेड एईएस पते होते हैं जिनसे हमला शुरू किया जाना चाहिए। मैलवेयर वायर्ड कुंजी के साथ डिक्रिप्ट करता है।

उपलब्ध DDOS हमले के विकल्प:

• सिन बाढ़
• LSYN बाढ़
• यूडीपी बाढ़
• यूडीपीएस बाढ़
• टीसीपी बाढ़
• सीसी बाढ़

खुद की सुरक्षा कैसे करें

20 मार्च 2019 को भेद्यता CVE-2019-3396 तय किया गया था। एक सुरक्षा बुलेटिन एटलसियन वेबसाइट पर अपने विवरण और पैच किए गए संस्करणों की सूची के साथ उपलब्ध है। भेद्यता को ठीक करने के लिए, उपयोगकर्ताओं को सिस्टम को पैच में शामिल संस्करणों में अपडेट करने की आवश्यकता होती है।

इसके अलावा, CVE-2019-3396 भेद्यता और लिनक्स स्पाइक गतिविधि के दोहन के प्रयासों का पता लगाने के लिए, हमने सुरिकटा आईडी के लिए नियम विकसित किए हैं: