Descoberta e escopo da campanha
Uma operação de criptomineração de grande escala comprometeu 3.562 servidores Redis, convertendo seu poder de processamento em receita de Monero. A campanha não dependeu de uma falha de software recém-descoberta, mas sim de instâncias do Redis expostas à internet que aceitavam comandos sem autenticação. Os operadores varreram 12.966 alvos potenciais e utilizaram recursos de replicação do Redis para implantar uma tarefa agendada que baixava e executava um minerador.
Os pesquisadores da Hunters.io identificaram a campanha após encontrar um diretório exposto contendo 147 arquivos, incluindo código de exploração e logs da campanha. Os registros fornecem uma visão incomumente clara de como a operação foi construída, testada e medida. Os logs mostram duas grandes execuções que comprometeram 3.388 e 2.862 hosts respectivamente, com sobreposição entre eles, resultando em 3.562 vítimas distintas.
Os sistemas afetados cobriam versões do Redis de 2.8.17 a 7.2.0, demonstrando que a configuração, e não uma versão vulnerável específica, era o problema central.
Vetor de ataque e exploração
O ataque principal abusou da replicação mestre-replica do Redis. Após confirmar que um servidor não exigia senha, os atacantes alteraram onde o Redis escrevia seus dados e o direcionaram a copiar conteúdo de um servidor malicioso. Os dados recebidos criavam uma tarefa cron, uma pequena entrada do agendador do Linux que executa comandos repetidamente. A cada cinco minutos, a tarefa buscava o XMRig, renomeava-o para se esconder entre arquivos temporários e se conectava a uma pool de mineração sobre a porta 443 criptografada.
Essa abordagem pode fazer com que o tráfego pareça menos incomum do que a mineração em uma porta dedicada. Isso ecoa o padrão coberto em uma campanha anterior de criptomineração no Redis, onde instâncias expostas e mal protegidas também foram a abertura.
Os atacantes usaram vários locais de fallback para a tarefa agendada. Eles também testaram maneiras de adicionar chaves SSH e usar scripting do Redis, mas essas trilhas não produziram compromissos confirmados em escala. O método de replicação bem-sucedido importa porque usa um recurso legítimo que permanece disponível em muitas versões.
Impacto e alcance
O impacto vai além dos recursos de computação roubados. Durante o ataque, as configurações alteradas de gravação do Redis podem interferir nos arquivos de snapshot normais. Organizações que dependem da persistência do Redis podem, portanto, enfrentar risco de perda de dados junto com o impacto no desempenho. Abuso de replicação semelhante foi visto recentemente em ataques de Redis expostos P2PInfect, sublinhando por que a exposição pública do Redis é perigosa.
Medidas de mitigação recomendadas
Os defensores devem primeiro remover o Redis do acesso direto à internet, restringi-lo a redes confiáveis e exigir autenticação. Onde a replicação não é necessária, os administradores devem restringir ou renomear o comando SLAVEOF ou REPLICAOF e manter o modo protegido habilitado. A atualização sozinha não resolverá essa exposição específica, embora os patches ainda permaneçam importantes para outros riscos.
As equipes devem inspecionar diretórios cron e crontabs de usuário para referências inesperadas a ferramentas de download, extração de arquivos ou software de mineração. Elas também devem revisar as configurações do Redis para diretórios de dados ou nomes de arquivos incomuns, e procurar ganchos APT não autorizados e scripts de shell de login.
Uma resposta completa deve isolar o servidor, interromper processos maliciosos, remover todos os mecanismos de persistência, rotacionar credenciais do Redis e relacionados, e revisar a integridade dos dados antes de retornar o host ao serviço. Os administradores também devem verificar os locais de chaves SSH de conta de serviço, pois a caixa de ferramentas recuperada tentou colocar chaves fora dos caminhos padrão da conta root para sinais de acesso subsequente.
Indicadores de Comprometimento (IoCs)
- IP address: 188.245.99.156 (Host do operador para replicação Redis maliciosa, C2 e staging)
- IP address and port: 188.245.99.156:10000 (Ponto de callback C2)
- IP address and port range: 188.245.99.156:16379-16385 (Portas de ouvinte de replicação Redis maliciosas)
- URL pattern: http://188.245.99.156:10000/ping?h=<hostname> (Padrão de solicitação de verificação da vítima)
- Domain and port: pool.moneroocean.stream:443 (Ponto final da pool de mineração usado pelo XMRig implantado)
- File path: /etc/cron.d/redis-miner (Caminho de persistência cron primário)
- File path: /etc/cron.hourly/redis-miner (Caminho de fallback cron)
- File names: tmp.xmrig, tmp.xr (Nomes de arquivo binário XMRig ocultos)
Perguntas frequentes
Como os atacantes exploram o Redis? Eles usam a replicação mestre-replica para implantar tarefas cron que baixam mineradores.
Qual é a mitigação principal? Remover o Redis da internet, exigir autenticação e restringir comandos de replicação.
Isso afeta apenas versões antigas? Não, afeta versões de 2.8.17 a 7.2.0, dependendo da configuração.