搜索

[28324] 2020-05-29_NSA：自2019年以来，俄罗斯政府黑客利用Exim的严重漏洞

文档创建者：s7ckTeam
浏览次数：70
最后更新：2025-01-19
2020-05-29_NSA：自2019年以来，俄罗斯政府黑客利用Exim的严重漏洞 N S A ： 自 2 0 1 9 年 以 来 ， 俄 罗 斯 政 府 黑 客 利 用 E x i m 的 严 重 漏 洞 O t s 安 全   2 0 2 0 - 0 5 - 2 9 美 国 国 家 安 全 局 （ N S A ） 表 示 ， 至 少 从 2 0 1 9 年 8 月 开 始 ， 被 称 为 S a n d w o r m   T e a m 的 俄 罗 斯 军 事 威 胁 行 为 者 就 一 直 在 利 用 E x i m 邮 件 传 输 代 理 （ M T A ） 软 件 中 的 严 重 漏 洞 。 该 漏 洞 跟 踪 为 C V E - 2 0 1 9 - 1 0 1 4 9 ， 并 命 名 为 “ 向 导 的 返 回 ” ， 使 得 未 经 身 份 验 证 的 远 程 攻 击 者 在 发 送 特 制 电 子 邮 件 后 ， 可 以 在 易 受 攻 击 的 邮 件 服 务 器 上 以 r o o t 用 户 身 份 在 易 受 攻 击 的 邮 件 服 务 器 上 执 行 任 意 命 令 （ 对 于 某 些 非 默 认 服 务 器 配 置 ）   。 “ 当 补 丁 是 去 年 发 布 的 进 出 口 敦 促 其 用 户 更 新 到 最 新 版 本 ， ” 该 机 构 说 。 “ 美 国 国 家 安 全 局 （ N S A ） 鼓 励 立 即 修 补 以 减 轻 这 种 仍 然 存 在 的 威 胁 。 ” 在 修 补 E x i m 漏 洞 后 开 始 攻 击 在 2 0 1 9 年 6 月 5 日 发 布 更 新 后 ，   G R U 特 殊 技 术 中 心 主 要 技 术 中 心 （ G T s S T ） 黑 客 已 开 始 利 用 受 害 者 未 打 补 丁 的 E x i m 服 务 ， 以 使 用 户 修 补 易 受 攻 击 的 服 务 器 。 N S A 解 释 说 ： “ 演 员 通 过 在 S M T P （ 简 单 邮 件 传 输 协 议 ） 消 息 的 “   M A I L   F R O M ” 字 段 中 发 送 命 令 ， 在 面 向 公 众 的 M T A 上 使 用 E x i m 软 件 来 利 用 受 害 者 。 ” 俄 罗 斯 S a n d w o r m 黑 客 使 用 E x i m 漏 洞     从 攻 击 者 控 制 的 域 中 下 载 S h e l l 脚 本 以 “ 添 加 特 权 用 户 ， 禁 用 网 络 安 全 设 置 ， 更 新 S S H 配 置 以 启 用 其 他 远 程 访 问 ， 执 行 其 他 脚 本 以 启 用 后 续 功 能 。 开 发 。 ”
样 本 利 用 命 令 （ N S A ） B l e e p i n g C o m p u t e r 已 经 能 够 获 取 上 面 的 漏 洞 利 用 中 引 用 的     s c r i p t 1 . s h 脚 本 ， 它 使 我 们 能 够 看 到 攻 击 的 进 行 方 式 。 S a n d w o r m   s h e l l   s c r i p t 1 . s h 脚 本 在 执 行 后 ， 该 脚 本 将 执 行 各 种 命 令 ， 以 使 他 们 能 够 完 全 访 问 受 感 染 服 务 器 及 其 上 运 行 的 任 何 M y S Q L 数 据 库 。 在 被 入 侵 的 服 务 器 上 添 加 具 有 r o o t 特 权 的 新 “   m y s q l _ d b ” 用 户 。 导 入 一 个 S S H 密 钥 ， 攻 击 者 以 后 可 以 使 用 该 密 钥 通 过 S S H 访 问 受 感 染 的 服 务 器 。 执 行 b a s e 6 4 编 码 的 命 令 ， 这 些 命 令 将 连 接 到 远 程 站 点 并 下 载 命 令 / 可 执 行 文 件 以 在 被 黑 客 入 侵 的 计 算 机 上 启 动 。 添 加 一 个 运 行 M y S Q L 实 例 的 名 为 “   m y s q l d b ” 的 M y S Q L 用 户 ， 并 授 予 其 对 服 务 器 上 所 有 数 据 库 的 完 全 访 问 权 限 。 重 新 启 动 s s h d 和 M y S Q L 守 护 程 序 对 于 其 中 两 个 B a s e 6 4 编 码 命 令 ， S a n d w o r m 的 脚 本 将 检 查 “   L i t t l e   S n i t c h ” （ 一 种 流 行 的 第 三 方 m a c O S 防 火 墙 ） 的 运 行 进 程 。 如 果 存 在 该 进 程 ， 则 脚 本 将 不 会 继 续 执 行 该 命 令 ， 如 下 面 的 代 码 片 段 所 示 。
L i t t l e S n i t c h 检 查 缓 解 ， 检 测 和 防 御 措 施 缓 解 ， 检 测 和 防 御 措 施 作 为 缓 解 措 施 ， N S A 建 议 立 即 通 过 安 装 4 . 9 3 版 或 更 高 版 本 来 修 补 其 E x i m 服 务 器 。 该 机 构 说 ： “ 管 理 员 可 以 通 过 其 L i n u x 发 行 版 的 程 序 包 管 理 器 或 通 过 从 h t t p s : / / e x i m . o r g / m i r r o r s . h t m l 下 载 最 新 版 本 来 更 新 E x i m   M a i l T r a n s f e r   A g e n t 软 件 。 ” “ 使 用 E x i m 的 先 前 版 本 会 使 系 统 容 易 受 到 攻 击 。 系 统 管 理 员 应 不 断 检 查 软 件 版 本 并 在 新 版 本 可 用 时 进 行 更 新 。 ” N S A 还 提 供 了 安 全 威 胁 指 示 器 以 及 有 关 如 何 在 此 安 全 通 报 中 检 测 利 用 尝 试 和 未 经 授 权 的 更 改 的 说 明 。 利 用 利 用 C V E - 2 0 1 9 - 1 0 1 4 9 进 行 攻 击 的 警 告 进 行 攻 击 的 警 告 尽 管 进 出 口 漏 洞 被 知 道 在 野 外 被 剥 削 至 少 自 2 0 1 9 年 6 月 9 日 （ 1 ， 2 ） ， 仍 然 有 几 百 万 未 打 补 丁 的 服 务 器 容 易 受 到 攻 击 。 根 据 S h o d a n 的 快 速 搜 索 ， 目 前 易 受 攻 击 的 E x i m 版 本 大 约 在 暴 露 于 I n t e r n e t 的     2 , 4 8 1 , 0 0 0 台 服 务 器 上     运 行 ， 超 过     2 , 4 6 7 , 0 0 0 台 服 务 器 运 行 已 修 补 的 E x i m   4 . 9 3 版 本 。   微 软 在 2 0 1 9 年 6 月 发 布 了 有 关 针 对 远 程 代 码 执 行 （ R C E ） C V E - 2 0 1 9 - 1 0 1 4 9   E x i m 邮 件 服 务 器 漏 洞 的 活 动 L i n u x 蠕 虫 的 警 告 ， 指 出 即 使 现 有 缓 解 措 施 可 能 会 阻 止 A z u r e 服 务 器 滥 用 此 漏 洞 ， 但 仍 可 能 被 感 染 或 黑 客 入 侵 恶 意 软 件 的 蠕 虫 功 能 。 一 个 月 后 ， 攻 击 者 还 开 始 利 用 易 受 攻 击 的 E x i m 服 务 器 尝 试 安 装 W a t c h b o g   L i n u x 木 马 ， 最 终 目 的 是 将 受 感 染 的 盒 子 添 加 到 M o n e r o 加 密 采 矿 僵 尸 网 络 中 。

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理