O Malicious Sustes foi atualizado e agora está se espalhando pela vulnerabilidade do Exim (CVE-2019-10149)

O Malicious Sustes foi atualizado e agora está se espalhando pela vulnerabilidade do Exim (CVE-2019-10149).

Uma nova onda de mineradores de criptografia Sustes agora usa a vulnerabilidade de junho no servidor de correio Exim para infecções. A partir de 11 de agosto, nossos sensores de rede PT Network Attack Discovery detectam tentativas de operar servidores de correio no tráfego de rede recebido.

A verificação ocorre a partir do endereço 154.16.67 [.] 133, e o comando no campo RCPT TO carrega o script malicioso do bash no endereço hxxp: //154.16.67 [.] 136 / main1. Uma cadeia de scripts resulta na instalação de um minerador XMR no host e na adição ao crontab. O script adiciona sua chave SSH pública à lista de allowed_keys do usuário atual, o que permitirá que os invasores obtenham acesso SSH sem senha à máquina no futuro.

Além disso, o Sustes está tentando se propagar para outros hosts da lista known_hosts pelo SSH; ao mesmo tempo, espera-se que a conexão com eles ocorra automaticamente pela chave pública. O processo de infecção é repetido novamente nos hosts SSH disponíveis.



Existe outra maneira de distribuição. O Sustes executa uma cadeia de scripts Python, o último dos quais - hxxp: //154.16.67 [.] 135 / src / sc - contém um scanner de servidor Redis aleatório que também se adiciona ao crontab para execução automática e sua chave para a lista de SSH confiáveis. chaves em servidores Redis vulneráveis:

x = s2.connect_ex((self.host, 6379)) … stt2=chkdir(s2, '/etc/cron.d') rs=rd(s2, 'config set dbfilename crontab\r\n') rs=rd(s2, 'config set dbfilename authorized_keys\r\n') stt3=chkdir(s2, '/root/.ssh') 

Livrar-se do malware Sustes é bastante simples: remova os arquivos e scripts maliciosos com os nomes da lista abaixo e também limpe os arquivos crontab e known_hosts das entradas maliciosas. O Sustes explora outras vulnerabilidades para infectar, por exemplo, uma vulnerabilidade no Hadoop YARN ResourceManager, ou usa a força bruta da conta.