Un attaquant inconnu a cibl\u00e9 des dizaines de milliers de serveurs Redis non authentifi\u00e9s expos\u00e9s sur Internet dans le but d’installer un mineur de crypto-monnaie.<\/p>\n
On ne sait pas imm\u00e9diatement si tous ces h\u00f4tes ont \u00e9t\u00e9 compromis avec succ\u00e8s. N\u00e9anmoins, cela a \u00e9t\u00e9 rendu possible gr\u00e2ce \u00e0 une “technique moins connue” con\u00e7ue pour inciter les serveurs \u00e0 \u00e9crire des donn\u00e9es dans des fichiers arbitraires – un cas de l’acc\u00e8s non autoris\u00e9<\/a> qui a \u00e9t\u00e9 document\u00e9 pour la premi\u00e8re fois en septembre 2018.<\/p>\n “L’id\u00e9e g\u00e9n\u00e9rale derri\u00e8re cette technique d’exploitation est de configurer Redis pour \u00e9crire sa base de donn\u00e9es bas\u00e9e sur des fichiers dans un r\u00e9pertoire contenant une m\u00e9thode pour autoriser un utilisateur (comme ajouter une cl\u00e9 \u00e0 ‘.ssh\/authorized_keys’), ou d\u00e9marrer un processus (comme ajouter un script vers ‘\/etc\/cron.d’)”, Censys a dit<\/a> dans une nouvelle r\u00e9daction.<\/p>\n La plate-forme de gestion de la surface d’attaque a d\u00e9clar\u00e9 avoir d\u00e9couvert des preuves (c’est-\u00e0-dire des commandes Redis) indiquant les efforts d’une partie de l’attaquant pour stocker des \u00e9l\u00e9ments malveillants. entr\u00e9es crontab<\/a> dans le fichier “\/var\/spool\/cron\/root”, entra\u00eenant l’ex\u00e9cution d’un script shell h\u00e9berg\u00e9 sur un serveur distant.<\/p>\n Le script shell, qui est toujours accessible, est con\u00e7u pour effectuer les actions suivantes\u00a0:<\/p>\n La cl\u00e9 SSH aurait \u00e9t\u00e9 d\u00e9finie sur 15 526 des 31 239 serveurs Redis non authentifi\u00e9s, ce qui sugg\u00e8re que l’attaque a \u00e9t\u00e9 tent\u00e9e sur “plus de 49 % des serveurs Redis non authentifi\u00e9s connus sur Internet”.<\/p>\n Cependant, l’une des principales raisons pour lesquelles cette attaque pourrait \u00e9chouer est que le service Redis doit \u00eatre ex\u00e9cut\u00e9 avec des autorisations \u00e9lev\u00e9es (c’est-\u00e0-dire root) afin de permettre \u00e0 l’adversaire d’\u00e9crire dans le r\u00e9pertoire cron susmentionn\u00e9.<\/p>\n “Bien que cela puisse \u00eatre le cas lors de l’ex\u00e9cution de Redis dans un conteneur (comme docker), o\u00f9 le processus peut se voir s’ex\u00e9cuter en tant que root et permettre \u00e0 l’attaquant d’\u00e9crire ces fichiers”, ont d\u00e9clar\u00e9 les chercheurs de Censys. “Mais dans ce cas, seul le conteneur est affect\u00e9, pas l’h\u00f4te physique.”<\/p>\n Le rapport de Censys a \u00e9galement r\u00e9v\u00e9l\u00e9 qu’il existe environ 350 675 services de base de donn\u00e9es Redis accessibles sur Internet couvrant 260 534 h\u00f4tes uniques.<\/p>\n “Alors que la plupart de ces services n\u00e9cessitent une authentification, 11% (39 405) ne le font pas”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9, ajoutant que “sur le total de 39 405 serveurs Redis non authentifi\u00e9s que nous avons observ\u00e9s, l’exposition potentielle des donn\u00e9es est sup\u00e9rieure \u00e0 300 gigaoctets”.<\/p>\n Les 10 principaux pays avec des services Redis expos\u00e9s et non authentifi\u00e9s sont la Chine (20 011), les \u00c9tats-Unis (5 108), l’Allemagne (1 724), Singapour (1 236), l’Inde (876), la France (807), le Japon (711), Hong Kong ( 512), les Pays-Bas (433) et l’Irlande (390).<\/p>\n La Chine est \u00e9galement en t\u00eate en ce qui concerne la quantit\u00e9 de donn\u00e9es expos\u00e9es par pays, repr\u00e9sentant 146 gigaoctets de donn\u00e9es, les \u00c9tats-Unis venant loin derri\u00e8re avec environ 40 gigaoctets.<\/p>\n Censys a d\u00e9clar\u00e9 avoir \u00e9galement trouv\u00e9 de nombreuses instances de services Redis mal configur\u00e9s, notant qu'”Isra\u00ebl est l’une des seules r\u00e9gions o\u00f9 le nombre de serveurs Redis mal configur\u00e9s d\u00e9passe celui des serveurs correctement configur\u00e9s”.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/La-nouvelle-vulnerabilite-Amazon-Ring-aurait-pu-exposer-tous-vos.png\")
<\/a><\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1663773626_610_Plus-de-39-000-instances-Redis-non-authentifiees-trouvees-exposees.jpg\")
<\/div>\n\n
![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1663773626_917_Plus-de-39-000-instances-Redis-non-authentifiees-trouvees-exposees.jpg\")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/Google-Cloud-bloque-une-attaque-DDoS-record-de-46-millions.png\")
<\/a><\/div>\n