Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Webserver Linux sotto attacco sfruttando l’accesso a Redis

Set 02, 2016 Marco Schiaffino Attacchi, Intrusione, News, Vulnerabilità 0

I pirati accedono al server e “rubano” i dati chiedendo un riscatto. Nella maggior parte dei casi, però, i file sono stati cancellati.

Tanti, troppi Webserver Linux utilizzano in maniera inappropriata il software Redis. Si tratta di un key-value store open source, che consente di gestire in maniera estremamente rapida ed efficiente i dati, ma che offre poche garanzie in termini di sicurezza.

Come fanno notare in uno studio i ricercatori di Duo Labs, il basso livello di sicurezza di Redis non è dovuto a errori nella programmazione o a particolari vulnerabilità. Semplicemente il sistema è pensato per essere usato in ambienti protetti.

Il programma, infatti, consente di modificare impostazioni e contenuti in remoto. In molti casi invece (secondo gli analisti almeno 18.000) viene utilizzato su server che ospitano siti Web, lasciando che le istanze di Redis siano raggiungibili dall’esterno.

Quello che succede in realtà è molto semplice. I pirati individuano i server che hanno un’istanza di Redis aperta su Internet e inviano un comando config per memorizzare una chiave SSH in /root/.ssh/authorized_keys. Usando poi la loro stessa chiave SSH per autenticarsi, i cyber-criminali possono collegarsi serenamente a Redis e fare ciò che vogliono.

In teoria l’ultima release del programma (versione 3.2 del maggio 2016) ha introdotto un sistema di autenticazione che mitiga questo tipo di rischio. Tanto per cambiare, però, la maggior parte delle installazioni individuate dai ricercatori di Duo Labs usano una vecchia versione del software.

Redis è gratuito e open source. E perché allora non lo aggiornate?

Risultato? Negli ultimi giorni molti amministratori di siti Web sono stati vittima di un attacco battezzato Fairware, che ha provocato danni notevoli e perdite di dati.

Fairware, almeno in teoria, dovrebbe essere un ransomware. Il condizionale però è d’obbligo, visto che le modalità degli attacchi registrati finora si discostano decisamente dal modus operandi che i cyber-criminali utilizzano di solito.

Sui server colpiti, infatti, non c’è alcuna traccia dei file mancanti, tantomeno di una loro versione crittografata. Di solito, gli amministratori trovano semplicemente una cartella mancante e un link a Pastebine che punta a una richiesta di riscatto: 2 Bitcoin per riavere i dati.

Secondo i ricercatori, in realtà, si tratta di una truffa. Nei casi da loro analizzati, infatti, non solo non risultano file crittografati, ma nemmeno tracce che indichino che sia stato fatto un backup dei dati cancellati. Chi paga il riscatto, quindi, corre il serio rischio di non riavere comunque i suoi dati.

Condividi l'articolo