208500 Mongole DB exponierte die einfache Erpressung, die Datenbanken in Bitcoin umwandelt

In der aktuellen Landschaft der Cybersicherheit gibt es Angriffe, die Feinheit bevorzugen und andere, die zum Grob gehen: diejenigen, die von offenen Konfigurationen profitieren und es schnell Geld für Kriminelle machen. In diesem Fall sind die Punkte Beispiele von MongolDB ohne Mindestschutz dem Internet ausgesetzt, und die wiederkehrende Taktik ist einfach und kostengünstig: eine automatische Löschung gefolgt von einer Rettungsnote mit einer bescheidenen Anfrage in Bitcoin.

Eine Studie der Flare Sicherheitsfirma entdeckte eine alarmierende Anzahl öffentlicher Diener von MongolDB: mehr als 208,500 aus dem Internet sichtbare Fälle, von denen ca. 100.000 gefilterte Betriebsinformationen und ca. 3.100 ohne Authentifizierung verfügbar waren. Als die Ermittler diese Gruppe ohne Zugriffskontrolle inspizierten, fanden sie heraus, dass bereits etwa 45,6 Prozent eingegriffen wurden. In vielen Fällen war die Datenbank geleert worden und ließ eine Anweisung zu zahlen 0.005 BTC - die heute um die $500-600- wenn der Besitzer wollte, dass die Angreifer die Informationen "wiederherstellen". Der Bericht Flare kann in seiner technischen Veröffentlichung detailliert gelesen werden: Flare: Mongol DB Ransomware Aktivität.

Diese Art der Erpressung ist nicht neu; es gab frühere Wellen in den vergangenen Jahren, in denen Tausende von Datenbanken gelöscht oder verschlüsselt wurden. Diese Massenkampagnen zeigten, dass das Herz des Problems keine komplexe Null-Tage-Verletzlichkeit ist, sondern grundlegende Fehler der Belichtung und Abwesenheit der Authentifizierung. Eine Geschichte von Vorfällen im Zusammenhang mit offenen Datenbanken wurde von Sicherheitsmedien abgedeckt, zum Beispiel in Brian Krebs' Stück auf MongolDB Datenbanken ungeschützt gelassen: KrebsÜberSicherheit.

Über die unmittelbare Wirkung hinaus gibt es Anzeichen, die den Angreifer formen. Flare identifizierte nur fünf Adressen von Geldbörsen in den Rettungsnotizen und einer von ihnen erschien in den meisten Fällen, was auf eine automatisierte und wiederholte Operation durch den gleichen Schauspieler hindeutet. Die Forscher erhöhen auch die Möglichkeit, dass viele exponierte Instanzen, die keine Tilgungserscheinungen zeigten, zuvor bezahlt hätten, um den Schaden zu vermeiden oder zu rückgängig zu machen, obwohl das im Allgemeinen nicht bestätigt werden kann.

Es ist wichtig zu betonen, dass die Zahlung garantiert nichts: Erpresser versprechen, Daten wiederherzustellen, aber es gibt keine Zertifizierung, dass sie nützliche Kopien haben oder dass sie erfüllen werden. Dies wird ausdrücklich durch die eigene Analyse von Flare festgestellt: Zahlungen nicht sicherstellen Erholung.

Warum funktionieren diese Angriffe noch? Weil sie die Definition von "Frucht in Reichweite" sind: Intrusionen basieren auf uneingeschränktem Zugriff, Standardkennwörtern oder kopierten Konfigurationen von Bereitstellungsführern ohne Anpassung der Sicherheit. Darüber hinaus wird eine beträchtliche Population von Servern mit alten Versionen von MongolDB gefunden: Flare fand fast 95.000 exponierte Instanzen mit Versionen, die für n-Tage-Versagen anfällig sind. In vielen Fällen ist die Schwere dieser Misserfolge auf den Service beschränkt, aber die Kombination aus veralteter Software und schlechter Konfiguration multipliziert das globale Risiko.

Wenn Sie MongolDB verwalten oder Verantwortlichkeiten für die Datenbankinfrastruktur haben, sollten Sie praktische und realistische Maßnahmen treffen: Vermeiden Sie, dass Instanzen der Öffentlichkeit ausgestellt werden, es sei denn, es ist streng notwendig, robuste Authentifizierungsmechanismen zu ermöglichen, Firewall-Regeln und Netzwerkrichtlinien (einschließlich in Kubernetes) anzuwenden, die Verbindungen zu zuverlässigen Ursprüngen beschränken und keine Beispielkonfigurationen erneut verwenden, ohne sie zu überprüfen. Mongole DB hält eine gute Sicherheitspraxis Anleitung, die als Ausgangspunkt nützlich ist: MongolDB Sicherheitskontrollliste.

Im Falle einer Exposition oder Verpflichtung sind die empfohlenen Maßnahmen klar: isolieren Sie die Instanz, rotieren Anmeldeinformationen, überprüfen Aufzeichnungen, um unbefugte Aktivität zu erkennen und von sauberer Sicherung wiederherzustellen. Darüber hinaus reduziert die kontinuierliche Überwachung und regelmäßige Scannen der Angriffsfläche die Wahrscheinlichkeit, dass ein Server offen bleibt, ohne dass jemand es bemerkt. Öffentliche Werkzeuge wie Shodan die Möglichkeit zu überprüfen, ob ein Dienst aus dem Internet sichtbar ist, obwohl seine Nutzung Teil einer Verteidigungsstrategie und mit den entsprechenden Berechtigungen sein muss.

Es gibt keine magischen Formeln gegen Erpressung, aber es gibt Praktiken mit einer starken Rückkehr auf Sicherheitsinvestitionen. Vorbeugung - Aktualisierung der Software, Segmentierungsnetzwerke, Verwendung einer starken Authentisierung und Authentifizierung - ist das, was trennt diejenigen, die eine Löschung und eine Rettungsnote von denen, die einfach einen Versuch erkennen und schließen, bevor es an ältere Menschen geht. Und angesichts des Zweifels hilft die Dokumentation von Vorfällen und die Übermittlung an Antwortteams und gegebenenfalls an die zuständigen Behörden, Trends zu identifizieren und automatisierte Kampagnen wie diese zu mildern.

Wenn Sie die Situation vertiefen und Zahlen und technische Empfehlungen überprüfen möchten, können Sie neben dem von Flare erwähnten Bericht Ressourcen und spezialisierte Sicherheitsnachrichten konsultieren, um die Entwicklung dieser Kampagnen zu verstehen und Ihre Vermögenswerte zu schützen: Flammen die amtliche Dokumentation MongolDB und Suchplattformen des öffentlichen Dienstes wie Shodan.