Schnelle Ausbeutung von CVE-2026-39987 in Marimo und Massenkampagne von Reis zu Mine XMRig

Zwei jüngste Untersuchungen - eine von Sysdig und eine von Hunt.io - betonen, dass die Trennung zwischen der Entdeckung einer Verwundbarkeit und der Ausbeutung es drastisch reduziert wurde: nicht nur künstliche Intelligenz-basierte Werkzeuge beschleunigen Angriffe, sondern hochherzige menschliche Operatoren können sich mit der gleichen Rate und mit großer Stealth bewegen. Sysdig dokumentiert eine Intrusion, bei der ein Angreifer nach Ausbeutung einer Verwundbarkeit in Marimo (als CVE-2026-39987) von einem WebSocket-Anschluss eine Kette von Drehpunkten erreichte, die ihm erlaubte, einen privaten AWS Secrets Manager Schlüssel zurückzugewinnen und sich von SSH in Sekundenschnelle einer Bastion zu authentifizieren. Parallel beschreibt Hunt.io eine massive Kryptominery-Kampagne, die Tausende von Redis-Instanzen durch bösartige Replikation und andere Persistenztechniken beeinträchtigt hat.

Fakten bestätigt: Sysdig berichtete eine aktive Ausbeutung von CVE-2026-39987 in Marimo, mit einem Schauspieler, der eine interaktive Hülle bekam und, unter Verwendung von Anmeldeinformationen von der engagierten Maschine, genannt AWS Secrets Manager, einen privaten Schlüssel zu wiederherstellen und verbinden SSH mit einem Bastion. Laut der veröffentlichten Platte Sysdig dauerte der Bediener nur acht Sekunden, um vom ersten Verstoß gegen die SSH-Authentifizierung im Bastion zu schwenken. Hunt.io bestätigte die Überprüfung von 3,562 Reis-Server, die im Internet belichtet werden, mit hauptsächlicher Replikation (SLAVEOF / REPLICAOF Befehl), um Nutzlasten zu injizieren, die XMRig bereitstellen.

Geschätzte oder noch unsichere Informationen: Es gibt keine öffentliche und zuverlässige Zuschreibung, auf der sich die Gruppe hinter den Einbrüchen befindet; noch ist es völlig klar, den endgültigen Umfang der möglichen Exfiltrationen nach dem Zugang zum Bastion gemacht oder ob es nach dem Zugang zu zusätzlichen AWS-Konten gab. Sysdig erklärte, dass der Bediener keine IA-Agenten verwendet und dass die Werkzeuge während der Sitzung "von Hand" geschrieben wurden; diese Aussage basiert auf der Telemetrie und Analyse von Taktiken, Techniken und Verfahren, aber die Möglichkeit, dass der Angreifer automatisierte Werkzeuge außerhalb der beobachteten Sitzung verwendet hat, kann nicht ausgeschlossen werden.

Technisch verfolgt die von Sysdig beschriebene Angriffskette dieses Muster: Vorauthentifizierung der WebSocket-Terminalfunktionalität, die Marimo für die Fernausführung ausgesetzt hat; Suche und Extraktion von lokalen Anmeldeinformationen (Konfigurationsdateien oder Umgebungsvariablen), mit denen Sie AWS Secrets Manager anrufen und einen privaten Schlüssel wiederherstellen können; Schreiben Sie diesen Schlüssel auf Festplatte und Authentifizierung durch SSH an die Bastion. Der Schlüsselvektor ist dabei, dass eine Anwendung mit einem interaktiven Endpunkt WebSocket einen Bereich freigelegt hat, der einmal verletzt wurde, Zugriff auf Anmeldeinformationen im Host selbst gab. Im Fall von Reis war die Technik, die auf einer Skala arbeitete, SLAVEOF zu verwenden, um den Zielserver zu induzieren, um von dem Angreifer gesteuerte Daten zu replizieren; dass Inhalte in der AOF-Datei enden können und mit ausreichenden Bedingungen SSH-Tasten oder andere persistente Artefakte injizieren. Details zum Replication-Befehl Reis finden Sie in der offiziellen Dokumentation unter redis.io.

Betroffene: Organisationen, die Marimo ohne Patches oder mit Konfigurationen ausführen, die den Endpunkt des WebSocket-Terminals im Internet aussetzen; AWS-Konten und Systeme, die Geheimnisse speichern, die von beschädigten Instanzen zugänglich sind; Reds-Server, die am Port 6379 ohne Authentifizierung oder mit schwachen ACLs ausgesetzt sind; veraltetete WordPress-Seiten, die durch automatisierte Kehre identifiziert werden können. Die Vielfalt der Opfer - von alten Servern bis hin zu aktuellen Kernel, nach Hunt.io - zeigt, dass der Vektor nicht so sehr von bestimmten Versionen abhängt, wie von unsicheren Konfigurationen oder unnötig exponierten Diensten.

Die praktischen Konsequenzen sind greifbar: bezeugter Zugang zu SSH-Bastions (kritischer Infrastruktur-Kontrollblock), privater Schlüsseldiebstahl von Secrets Manager (Risiko der lateralen Bewegung und des Kletterns), Bereitstellung von XMRig Bergleuten, die Ressourcen verbrauchen und Betriebskosten erhöhen, und potenzielle Einsatz von persistenten Back-Türen. Auf organisatorischer Ebene können diese Intrusionen zu Serviceunterbrechungen, Kosten von Cloud-Missbrauch und Risiko, Kompromisse für mehr schädliche Handlungen (Exfiltration, Datenvernichtung, Ransomware) zu verwenden.

Was der Leser tun sollte (betonte und priorisierte Maßnahmen):

1) Parken und reduzieren die Oberfläche. Aktualisieren Sie Marimo und jede andere Software mit interaktiven Endpunkten; verwenden Sie Patches, sobald sie verfügbar sind und blockieren Sie externen Zugriff auf Endpunkte der Administration. Wenn Sie nicht sofort parken können, beschränken Sie den Zugriff durch Zugriffskontrolllisten und Firewalls.

2) Segment und verschärft den Zugang zu Bastionen. Beschränken Sie die PIs, die auf die Bastion, die Multifaktor-Authentifizierung zugreifen können, und betrachten Sie mit verwalteten Session-Mechanismen (z.B. AWS Systems Manager Session Manager) statt SSH direkt in die Öffentlichkeit zu öffnen. Überprüfen und drehen potenziell gefährdete private Schlüssel.

3) Minimieren Sie Privilegien im Secrets Manager und drehen Sie Geheimnisse. Verwenden Sie IAM-Politiken mit dem Prinzip von weniger Privilegien: eine Instanz sollte nicht in der Lage sein, Geheimnisse zu lesen, die sie nicht braucht. Ermöglichen Sie CloudTrail und Warnungen über ungewöhnliche GetSecretValue Anrufe in AWS; Audit Geheimzugriff und Wurzel, wenn es Anzeichen von Exposition. Der AWS Guide to Secrets Manager ist verfügbar unter wohnzimmer.de.

4) Schützen Sie Reis und exponierte Datenbankdienste. Lassen Sie Reis nicht dem öffentlichen Internet aus; ermöglichen Sie die Authentifizierung, verwenden Sie ACLs und binden Sie an den Localhost oder ein privates Netzwerk. Block Port 6379 in öffentlichen Umkreisen und überwachen eingehende Replikationsverbindungen. Für AOF-basierte Angriffe, haben Integritätsrichtlinien und lassen externe Prozesse nicht kritische Dateien überschreiben.

5) Erkennung und Antwort: instrumentelle Erkennung von bestimmten beobachteten Mustern: unerwartete WebSocket-Verbindungen zu Endpunkten, ruft zu Secrets Manager von Instanzen, die sie nicht brauchen sollten, Erstellung von privaten Schlüsseldateien auf ephemeralen Festplatten, interaktive Befehlsspitzen und Prozesse, die Bergleute wie XMRig installieren (Information zu XMRig in xmrig.com) Erstellen Sie schnelle Antwortwarnungen und Spielbücher, die Maschinenisolation, Kipperfassung und Anmeldeinformationen Rotation.

6) Überprüfen und härten WordPress-Einsätze. Deaktivieren Sie XML-RPC, wenn nicht verwendet, halten Sie Plugins und Kernel auf dem neuesten Stand und begrenzen Sie die exponierten Informationen, die ein automatisiertes Scannen ermöglichen können.

Zusammenfassend lässt sich sagen, dass die oben beschriebenen Fälle zwei Lektionen zeigen: Erstens kann die Betriebsgeschwindigkeit sowohl von der Automatisierung als auch von menschlichem Know-how stammen; zweitens ist die ausgebeutete Schwachstelle nicht immer ein zeitnaher technischer Fehler, sondern die Kombination von gefährdeten Software und Konfigurationen, die Anmeldeinformationen und Schlüsseldienste aussetzen. Verhindern bedeutet die Verringerung der Exposition, die Anwendung des Prinzips von weniger Privileg und die Festlegung einer spezifischen Früherkennung für Schwenkketten, die den Zugang zu Geheimnissen und Bastionen beinhalten. Zum Lesen und Weiterführen der Originalberichte können Sie die Ressourcen auf den Forschungsseiten von Sysdig und Hunt.io überprüfen: sysdig.com / blog und jagen.io / blog.