Databázy MySQL sa skenujú na prítomnosť Randomware GandCrab

MySQL

Špecializovaná skupina hackerov vedie pomerne zjednodušené, ale vytrvalé vyhľadávanie databáz MySQL. Zraniteľné databázy sú potom zamerané na inštaláciu ransomvéru. Správcovia servera MySQL, ktorí potrebujú prístup k svojim databázam na diaľku, musia byť mimoriadne opatrní.

Hackeri neustále vyhľadávajú na internete. Títo hackeri, ktorí sa pravdepodobne nachádzajú v Číne, hľadajú servery Windows, na ktorých sú spustené databázy MySQL. Skupina to zjavne plánuje infikovať tieto systémy ransomvérom GandCrab .

Ransomware je sofistikovaný softvér, ktorý uzamkne skutočného vlastníka súborov a požaduje platbu za zaslanie prostredníctvom digitálneho kľúča. Je zaujímavé poznamenať, že firmy zaoberajúce sa kybernetickou bezpečnosťou doteraz nevideli nijakého aktéra hrozby, ktorý by napadol servery MySQL bežiace na systémoch Windows, najmä aby ich infikoval ransomvérom. Inými slovami, je nepravdepodobné, že by hackeri hľadali zraniteľné databázy alebo servery a nainštalovali škodlivý kód. Bežným postupom, ktorý sa bežne pozoruje, je systematický pokus o krádež údajov pri snahe vyhnúť sa detekcii.

Posledný pokus o prehľadávanie internetu, ktorý by vyhľadával zraniteľné databázy MySQL bežiace na systémoch Windows, odhalil Andrew Brandt, hlavný výskumník v spoločnosti Sophos. Podľa Brandta sa zdá, že hackeri skenujú internetovo prístupné databázy MySQL, ktoré by prijímali príkazy SQL. Parametre vyhľadávania skontrolujú, či sú v systémoch spustené operačné systémy Windows. Po nájdení takého systému potom hackeri pomocou škodlivých príkazov SQL umiestnia súbor na exponované servery. Infekcia, keď bude raz úspešná, sa neskôr použije na hostenie ransomvéru GandCrab.

Tieto posledné pokusy sa týkajú, pretože výskumníkovi spoločnosti Sophos sa ich podarilo vypátrať späť na vzdialený server, ktorý by mohol byť len jedným z niekoľkých. Server mal zjavne otvorený adresár so serverovým softvérom s názvom HFS, čo je typ súborového servera HTTP. Softvér ponúkol štatistiku škodlivého užitočného zaťaženia útočníka.

V nadväznosti na tieto zistenia Brandt uviedol: „Zdá sa, že server naznačuje viac ako 500 stiahnutí vzorky, ktorú som videl pri sťahovaní honeypotu MySQL (3306-1.exe). Ukážky s názvom 3306-2.exe, 3306-3.exe a 3306-4.exe sú však totožné s týmto súborom. Dohromady sa za päť dní od umiestnenia na tento server uskutočnilo takmer 800 stiahnutí, ako aj viac ako 2 400 stiahnutí druhej (asi o týždeň staršej) vzorky GandCrab v otvorenom adresári. Aj keď nejde o nijako zvlášť rozsiahly alebo rozsiahly útok, predstavuje to vážne riziko pre správcov serverov MySQL, ktorí prekopali dieru cez bránu firewall pre port 3306 na svojom databázovom serveri, aby boli dostupné pre okolitý svet.

Je upokojujúce poznamenať, že skúsení správcovia serverov MySQL zriedka nesprávne konfigurujú svoje servery, alebo čo je najhoršie, nechávajú svoje databázy bez hesiel. Avšak také prípady nie sú nezvyčajné . Zdá sa, že účelom trvalých skenov je zjavné oportunistické využitie nesprávne nakonfigurovaných systémov alebo databáz bez hesiel.