Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Sandro Sana : 26 Giugno 2024 14:47
Negli ultimi mesi, la comunità della sicurezza informatica ha scoperto un nuovo worm noto come P2PInfect che ha iniziato a prendere di mira i server Redis vulnerabili. Questo malware non solo si diffonde rapidamente attraverso una rete peer-to-peer, ma sfrutta anche una vulnerabilità critica per stabilire un controllo persistente sui sistemi infetti. Il worm rappresenta una minaccia significativa sia per i server Linux che Windows, e il suo comportamento sofisticato richiede attenzione immediata da parte degli amministratori di sistema per prevenire possibili compromissioni. Ecco una panoramica dettagliata di come opera P2PInfect e le misure necessarie per mitigare questa minaccia.
P2PInfect è scritto in Rust, un linguaggio che facilita la sua operatività su piattaforme sia Windows che Linux. Il malware sfrutta una vulnerabilità di sandbox escape di Lua (CVE-2022-0543), che consente l’esecuzione di codice remoto sui server Redis vulnerabili. La sua capacità di replicarsi in un ambiente distribuito gli permette di creare una rete peer-to-peer (P2P), eliminando la necessità di un server di controllo centralizzato e rendendo più complesso il tracciamento e l’interruzione delle sue attività (SecurityWeek) (SOCRadar® Cyber Intelligence Inc.).
CVE-2022-0543 è una vulnerabilità critica che affligge Redis, un database in-memory molto popolare. Questa vulnerabilità è una “sandbox escape” che consente agli attaccanti di eseguire codice arbitrario sul server vulnerabile.
Vuoi diventare un Ethical Hacker?
Non perdere i nostri corsi e scrivi subito su WhatsApp al numero
375 593 1011 per richiedere informazioni dicendo che hai trovato il numero sulle pagine di Red Hot Cyber
Supporta RHC attraverso:
La CVE-2022-0543 è causata da un difetto nella gestione del codice Lua all’interno di Redis. Lua è un linguaggio di scripting leggero utilizzato in Redis per estendere le funzionalità del database. La vulnerabilità si verifica quando un attaccante può sfruttare la sandbox Lua per eseguire comandi non autorizzati sul sistema host. Questo exploit permette l’esecuzione di comandi con i privilegi dell’utente Redis, che spesso è configurato con diritti elevati sul server.
Questa vulnerabilità consente agli attaccanti di prendere il controllo completo del server Redis compromesso, eseguendo qualsiasi comando con i privilegi dell’utente Redis. Questo potrebbe portare a:
Una volta compromesso un server Redis, P2PInfect carica un file oggetto condiviso dannoso per ottenere l’accesso alla shell inversa, mantenendo la funzionalità normale del server per evitare sospetti. Il worm utilizza varie tecniche per mantenere il controllo, inclusi aggiornamenti dinamici della configurazione in memoria e meccanismi di persistenza cron per riattivare il payload principale ogni 30 minuti. Inoltre, il malware può sovrascrivere le chiavi SSH autorizzate per prevenire l’accesso legittimo e, se ottiene l’accesso root, modifica le password degli utenti per bloccarli fuori dal sistema (SOCRadar® Cyber Intelligence Inc.) (Heimdal Security).
Redis (REmote DIctionary Server) è un database in-memory open source utilizzato come database, cache e broker di messaggi. È noto per le sue alte prestazioni e la sua versatilità, essendo capace di gestire una varietà di strutture dati come stringhe, hash, liste, set e sorted set.
Redis è ampiamente adottato in molti settori grazie alle sue prestazioni elevate e alla sua capacità di scalare orizzontalmente, supportando un gran numero di connessioni simultanee e operazioni al secondo.
A partire da agosto 2023, l’attività del botnet P2PInfect ha subito un notevole incremento, con tentativi di accesso iniziale che sono aumentati di 600 volte in settembre. Questo aumento dell’attività è stato accompagnato dall’emergere di nuove varianti del malware, suggerendo un continuo sviluppo da parte degli autori del worm. Le regioni più colpite includono Cina, Stati Uniti, Germania, Singapore, Hong Kong, Regno Unito e Giappone (SecurityWeek) (SOCRadar® Cyber Intelligence Inc.).
Gli obiettivi finali dei gestori di P2PInfect non sono ancora chiari. Sebbene il worm abbia tentato di scaricare payload per il cryptomining, non è stata rilevata attività di mining effettiva sui dispositivi compromessi. Questo potrebbe indicare che gli operatori stanno ancora testando le fasi finali dell’attacco o che stanno cercando di vendere l’accesso alla rete infetta ad altri cybercriminali (SOCRadar® Cyber Intelligence Inc.) (Heimdal Security).
Per proteggersi da P2PInfect, è essenziale che gli amministratori di server Redis aggiornino le loro istanze con le ultime patch di sicurezza e configurino adeguatamente i firewall per limitare l’accesso ai porti critici. Monitorare costantemente le attività di rete e implementare misure di rilevamento delle intrusioni può aiutare a identificare e mitigare tempestivamente le minacce (SecurityWeek) (Heimdal Security).
La vulnerabilità CVE-2022-0543 rappresenta una seria minaccia per i server Redis non configurati correttamente o non aggiornati. Sfruttando questa falla, gli attaccanti possono eseguire codice arbitrario e prendere il controllo dei server vulnerabili. Redis, d’altro canto, rimane uno strumento potente e versatile per la gestione dei dati in memoria, essenziale per molte applicazioni moderne. È cruciale che gli amministratori mantengano i loro sistemi aggiornati e seguano le migliori pratiche di sicurezza per mitigare i rischi associati a queste vulnerabilità.
Sandro Sana
Redazione: [email protected]
© Copyright RED HOT CYBER. PIVA 16821691009