Tehdit aktörleri, hem Windows hem de Linux için versiyonlarla eşler arası kendi kendine kopyalayan solucan ile SSH ve Redis Redis açık kaynaklı veri deposunun maruz kalan örneklerini aktif olarak hedefliyor.
Pust ile yazılan kötü amaçlı yazılım, dayanak oluşturmak için en az iki yönteme dayanır: geçen yıl açıklanan ve yamalı kritik bir güvenlik açığı ve ana veritabanının yüksek kullanılabilirlik için çoğaltılmasına ve yük devretme senaryolarına karşı çıkmasına izin veren bir özellik.
P2Pinfect başlangıçta Palo Alto Networks birim 42'deki araştırmacılar tarafından belgelendi ve bu da CVE-2022-0543 olarak izlenen maksimum şiddet güvenlik açığından yararlandığını tespit etti.
Güvenlik sorunu, uzaktan kod yürütülmesine izin veren bir ambalaj sorunu nedeniyle Debian'a özgü bir Lua Sandbox kaçış kırılganlığıdır ve 10 üzerinden 10 kritik önem puanı ile.
Başlangıç yükü ile savunmasız bir redis örneğinden ödün verdikten sonra, P2Pinfect yeni işletim sistemi spesifik komut dosyalarını ve kötü niyetli ikili dosyaları indirir ve sunucuyu enfekte sistemler listesine ekler.
Kötü amaçlı yazılım daha sonra enfekte sunucuyu eşler arası ağına ekler, böylece gelecekteki tehlikeye atılan Redis sunucuları kötü amaçlı yüklerin paketine erişebilir.
Bulut adli tıp ve olay müdahale şirketi CADO Security'deki araştırmacılar, Honeypot'larında Windows ve Linux arasında platformlar arası uyumluluğunu gösteren hem taşınabilir yürütülebilir (PE) hem de ELF ikili dosyalarını içeren bir P2Pinfect örneği buldular.
Analiz ettikleri örnek, ana/lider Redis örneğinin kesin kopyalarının oluşturulmasına izin veren Redis çoğaltma özelliğini kullanarak farklı bir başlangıç erişim yolu kullandı.
“Bulut ortamlarında Redis'e karşı ortak bir saldırı modeli, çoğaltmayı etkinleştirmek için kötü niyetli bir örnek kullanarak bu özelliği kullanmaktır” - CADO Security
Bir tehdit oyuncusu bunu maruz kalan bir REDIS örneğine bağlanarak ve belirli bir belgelenmiş komut vererek başarabilir; Yöntem 2018'den beri tarihlenmektedir ve birden fazla kampanyada kullanılmıştır.
CADO Security'ye göre, birincil yük, sonuçta yükün pas bileşenini yürüten “C ve Pas kombinasyonu ile yazılmış” bir ELF ikilidir.
Yürütmeden sonra ikili, ana bilgisayarın SSH yapılandırmasını günceller ve OpenSSH sunucu yapılandırmasını "neredeyse varsayılan bir duruma" değiştirir, bu da saldırganın güvenli kabuk (SSH) protokolü aracılığıyla sunucuya bağlanmasını ve şifre kimlik doğrulamasını etkinleştirir.
CADO Security, tehdit oyuncusunun SSH hizmetini yeniden başlattığını ve mevcut kullanıcı için yetkili anahtarlar listesine bir SSH anahtarı eklediğini söylüyor.
Bir sonraki adımda, saldırgan WGY ve Curl İkili Bilgilerinin adlarını değiştirmek, belirli yardımcı programların varlığını kontrol etmek ve mevcut değilse yüklemek için bir Bash komut dosyası kullanır.
Aşağıdaki liste, komut dosyasını çalıştırmaktan kaynaklanan bazı eylemleri göstermektedir:
Araştırmacılar, iptables kullanımının diğer saldırganların savunmasız Redis sunucusundan ödün vermesini önlemek olabileceğini açıklıyor. Kötü amaçlı yazılımların da tehlikeye atılan ev sahibi üzerinde kalıcılık oluşturduğunu da ekliyorlar.
Bu adımı takiben, enfekte olmuş sunucu,/Proc aracılığıyla tarayabilen ve her işlem için STAT'ı açabilen en az bir ikili alır. Ayrıca/Proc dizinini değişiklikler için izleyebilir.
Ek olarak, ikili, kötü amaçlı yazılımın ana ikisini yükseltebilir ve imzası botnetten çekilenle eşleşmezse yürütür.
Araştırmacılar, P2Pinfect'in her tehlikeye atılan Redis sunucusunu bir düğüm olarak ele aldığını ve ağı, merkezi bir komut ve kontrol (C2) sunucusuna ihtiyaç duymadan talimatları alabilen eşler arası bir botnet'e dönüştürdüğünü söylüyor.
CADO Güvenlik Araştırmacıları, “İmzalı mesajların ağ genelinde yayılmasıyla komutların verildiği varsayılmaktadır” diyor.
Basit bir HTTP sunucusu, 60100 ve 60150 arasında rastgele bir bağlantı noktası üzerindeki eşler arasında iletişimi ve belirli yükleri almayı sağlar. Bununla birlikte, BotNet koordinasyonu HTTPS üzerinden sabit kodlu bir sertifika kullanılarak yapılır.
Bu sertifikaya dayanarak, CADO Security kampanyanın “29 Haziran'da veya sonrasında” başladığını değerlendiriyor.
Daha fazla ana bilgisayarı enfekte etmek, BASH geçmişini kontrol ettikten sonra yapılır.
Kötü amaçlı yazılım rastgele /16 ağ önekini seçer ve açıkta kalan SSH ve REDIS sunucuları için taramaya başlar. Brute-Force denemeleri için bir şifre listesi kullanarak zayıf korumalı ana bilgisayarlara erişir.
Redis sunucuları ile P2Pinfect, ana bilgisayar üzerine kötü amaçlı modüller yüklemek için CVE-2022-0543'ten veya çoğaltma özelliğini kullanmaya çalışacaktır.
Palo Alto Networks araştırmacıları, araştırmaları sırasında kamuya açık internet üzerinden 307.000'den fazla REDIS örneğinin ulaşılabileceğini söyledi. Hepsi savunmasız olmasa da, P2Pinfect onları zayıflıklar veya güvenlik açıkları açısından test edecek ve onları tehlikeye atacak.
Şu anda P2pinfect'in amacı belirsizliğini koruyor. Ne Palo Alto Networks ne de CADO güvenlik araştırmacıları Redis sunucularını enfekte etmenin nedenini belirleyemedi.
P2pinfect amacına ilişkin potansiyel bir ipucu, kripto para birimi madenciliği aktivitesine işaret edebilecek “madenci” olarak adlandırılan bir ikili varlığıdır.
Ancak CADO Security, dosyanın yürütüldüğünü ve daha sonra silindiğini ancak kriptominasyon kanıtı olduğunu gözlemledi. Bunun yerine, hiçbir şey yapmayan uyku syscall yapmaya devam etti.
Bu sadece kampanyanın ilk aşaması olabilir ve muhtemelen kriptominasyon, ek işlevsellik, yeterli miktarda REDIS örneğinden ödün verildikten sonra eklenecektir.
Yeni P2Pinfect Worm kötü amaçlı yazılım hedefleri Linux ve Windows Redis sunucuları
Bilgisayar korsanları, Minecraft sunucularını hedeflemek için Bleedingpipe RCE'yi sömürüyor, oyuncular
CVE-2023-3519 RCE saldırılarına karşı savunmasız 15k'den fazla Citrix sunucusu
NetScaler ADC Hata Bize kritik altyapı orgunu ihlal etmek için sömürüldü
Yeni Kritik Citrix ADC ve Gateway Kususu Sıfır Gün olarak sömürüldü
Kaynak: Bleeping Computer