Специалисты Risk Based Security представили исследование, согласно которому разработчики Redis совершенно напрасно не уделяли внимание безопасности своего детища. Исследователям удалось обнаружить 6338 скомпрометированных серверов Redis, из-за чего под угрозой оказались более 30 000 баз данных.
Redis считается почти идеальным решением среди NoSQL БД серверов и key-value хранилищ. Согласно статистике DB-Engines, в 2015 году Redis занимал десятое место по популярности. Однако исследователи Risk Based Security пишут, что продукт создавался с упором на производительность, а о безопасности разработчики почти не думали. В частности, конфигурация по умолчанию не предполагает вообще никакой аутентификации и механизмов защиты. Разумеется, в документации сказано, что использовать Redis нужно только внутри доверенного окружения, но с этим случаются проколы,
Исследователи заинтересовались данной проблемой, после того как провели аудит сервера, на котором обнаружили сторонний SSH-ключ и email-адрес ryan@exploit.im. Похожие изменения встречались специалистам во время расследования других инцидентов. Воспользовавшись простым сканированием через Shodan, специалисты убедились, что все действительно плохо. Redis не только опасно использовать в дефолтной конфигурации, в 2015 году также появился эксплоит, который позволяет посторонним создать и поместить SSH-ключ в файл authorized_keys, то есть на любой сервер Redis, где не настроена аутентификация.
По данным Risk Based Security, в настоящий момент скомпрометированы 6338 серверов Redis, то есть более 30 000 баз данных доступны любому желающему, безо всякой аутентификации.
Наиболее популярны среди нестандартных ключей crackit, crackit_key, qwe, ck и crack. Суммарно исследователи выявили 14 уникальных email-адресов и 40 уникальных комбинацией SSH-ключей. По словам исследователей, все это похоже на работу сразу нескольких хакерских групп. Скомпрометированные серверы Redis работают под управлением 106 разных версий, от совсем старых (1.2.0) до новейших (3.2.1).
«Наш анализ подтверждает две вещи. Во-первых, это не новая проблема. Во-вторых, некоторые серверы заражены и “открыты”, но не используются для реализации каких-либо вредоносных целей», — пишут исследователи.
В заключении эксперты рекомендуют не забывать об обновлениях, использовать наиболее свежие версии Redis, а также активировать «защищенный режим», который был представлен в версии 3.2.
Интернет-реклама умеет больше, чем продавать вам очередную ненужную вещь. Исследователи обнаружили объявления израильской Discover-Tech в сетях госструктур, НАТО и ООН. Компания использовала рекламную инфраструктуру для сбора данных об устройствах и помогала поставщикам шпионского софта проводить атаки без единого клика пользователя.
Схему подробно разобрали специалисты Citizen Lab в исследовании AdFection. Они также с высокой уверенностью установили заражение устройств в сети Al Jazeera шпионской программой Candiru через таргетированную рекламу.
Механика простая: показ объявления передаёт на серверы Discover-Tech IP-адрес и рекламный идентификатор устройства. Если пользователя выбирают для атаки, следующая стадия доставляет вредоносный код. Нажимать на баннер и скачивать якобы важное обновление не требуется.
Исследователи обнаружили рекламные показы на миллионах устройств в десятках стран. Среди сетей госорганов, где встречались объявления, есть и российские.
При этом показ рекламы сам по себе ещё не доказывает заражение. Для госструктур подтверждён риск профилирования, а возможные взломы требуют отдельной проверки.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
