Elasticsearche殭屍網路：超過4000台伺服器遭到兩款POS 惡意軟體感染

ES伺服器中發現POS惡意軟體

Kromtech 安全中心最近對一些可以公開訪問的ElasticSearch節點進行研究後發現，在ElasticSearch文件結構中存在一些與其沒有任何關係的可疑索引名稱。

原來，在這些ElasticSearch伺服器中有部分存放了AlinaPOS和JackPOS惡意軟體的C&C基礎架構文件。這兩種都是使用一系列不同技術來擦拭信用卡詳細信息的POS終端惡意軟體。

其中，Jack POS會試圖欺騙系統它是java或java實用程序。它可以將其自身直接複製到％APPDATA％目錄或％APPDATA％內的基於java的子目錄中。據悉，JackPOS會使用MAC地址作為殭屍ID，甚至可以對被盜的信用卡數據進行編碼，以便在被提取時不被發現。而Alina 是一個知名的POSRAM擦除器，第一次被發現是在2012年10月份，並於2014年衍生出JackPOS變種。目前，這兩大熱門惡意軟體仍在地下黑客論壇兜售擴散。

2014年，POS惡意軟體家族圖譜圖如下所示：

如今，該圖譜已經變得更加糟糕，範圍也更加廣泛。

儘管目前有一些安全警告和行業相關新聞稱，POS惡意軟體已經不再頻繁出現在頭條新聞中，但是數百萬持卡人仍然處在危險之中。Kromtech研究人員已經開始尋找有關該特定類型的惡意軟體的更新版本。令研究人員吃驚的是，目前，已經有更新版本的惡意軟體正在網上公開出售：

在網路犯罪追蹤站點上https://cybercrime-tracker.net/index.php?search=alina，我們發現了Alina惡意軟體的新樣本類型，使用VirusTotal對樣品進行檢測後發現，主流的殺毒引擎對這類惡意軟體的檢測率較低，如下圖所示：

即使對於相對較老的命令和控制（C＆C）伺服器託管站點而言，也沒有足夠的信息來標記真實存在的威脅。VirusTotal URL掃描儀的檢測結果顯示：在65個可用的防病毒引擎和網路掃描儀中，只有6個能夠識別新版本的POS惡意軟體，如下圖所示：

為什麼出現這種情況？

由於缺乏有效的身份認證，攻擊者可以在Elasticsearch伺服器上安裝惡意軟體。一旦惡意軟體發揮作用，犯罪分子就可以完全掌握整個系統的管理許可權，遠程訪問伺服器中的資源，甚至啟動代碼執行來竊取或完全銷毀伺服器中保存的所有數據。

在這個案例中，有大量部署在AWS上的 ElasticSearch實例遭到了攻擊者的惡意利用。此外，每個受感染的ES伺服器也是一個更大的POS殭屍網路的一部分，POS惡意軟體客戶端能夠收集、加密和轉儲從POS終端、RAM內存或受感染的Windows設備中竊取的信用卡信息。

POS惡意軟體使用的舊C & C介面如下圖所示：

我們使用Shodan（基於物聯網的搜索引擎）檢查了互聯網上有多少ES系統具有相似的感染跡象。結果發現，截至9月12日，共有近4000台受感染的ElasticSearch伺服器，其中大約99%是託管在AWS上。

那麼，為什麼幾乎所有的ES伺服器都是託管在AWS上呢？Kromtech首席通信官Bob Diachenko解釋稱，這是因為亞馬遜AWS服務為客戶提供免費的T2 micro（EC2）實例，其磁碟空間高達10GB，與此同時，只有ElasticSearch 1.5.2和2.3.2版本允許設置t2 micro。據悉，在被感染的4000多台伺服器中，52%運行ElasticSearch 1.5.2，47%運行ElasticSearch 2.3.2。

亞馬遜託管平台為用戶提供了「只需單擊幾次滑鼠就可以配置一個ES集群」的可能性，但通常人們在快速安裝過程中會跳過所有的安全配置。就是這樣一個簡單的失誤可能會造成非常嚴重的影響，在這個案例中，它就會暴露大量的敏感數據。

此外，Kromtech安全研究人員還從shodan.io上搜索到的ES服務的結果中，發現了類似的文件結構。然後，我們比較了這些受感染的ES伺服器上可疑文件的修改時間，並得出了以下一些結論：

有不同的C&C惡意軟體包，也就是說伺服器被多次感染了；

不同的軟體包可能與不同的殭屍網路有關（因為POS惡意軟體不僅在暗網上出售，還在公共網路上出售）；

有很多伺服器被感染，由於定期掃描和殭屍網路擴展等因素，不同伺服器上的相同惡意軟體包的感染時間可能不同；

近99%的受感染的伺服器託管在AWS上；

在受感染的伺服器中，約有52%運行ES 1.5.2版本，47% 運行ES 2.3.2版本，剩下的1%運行其他版本；

最近的感染髮生在2017年8月底；

[object Object]

下表中顯示了Kromtech安全中心發現的通過ES伺服器和亞馬遜安全配置中的漏洞被感染的AWS實例的分布情況：

緩解措施

Kromtech安全中心強烈建議您採取以下有效事件響應所需的操作，最大限度的降低此類威脅：

檢查基礎設施中所有伺服器上的日誌文件；

檢查連接和流量；

對所有正在運行的系統進行快照和備份；

提取惡意軟體樣本並提交給我們進行進一步分析；

重新安裝所有受影響的系統，否則，您需要清理所有可疑進程、使用防病毒軟體對系統進行全面檢測，並持續監測您的系統在未來3個月內的任何異常連接；

安裝最新的Elastic補丁或完全地重新安裝最新版本；

關閉所有可從外部訪問的未使用的埠，或列出可信的IPs 白名單；

另外，還可以從ES官網獲取相關的安全建議：https://www.elastic.co/products/x-pack/security

ELK相關漏洞類型，如下所示：

受感染的ES伺服器的全球威脅感知景觀圖：

最後，Kromtech研究人員Bob Diachenko 在接受採訪時表示，Kromtech已經通知了「受影響的公司」，並正在嘗試聯繫亞馬遜公司。截至目前，亞馬遜公司尚未對此事做出回應。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！