MySQL-i andmebaase kontrollitakse GandCrab lunavara nakatamise osas

MySQL

Spetsiaalne häkkerite rühm tegeleb MySQL-i andmebaaside üsna lihtsa, kuid püsiva otsinguga. Seejärel on lunavara installimiseks suunatud haavatavad andmebaasid. MySQL-i serveri administraatorid, kes vajavad juurdepääsu oma andmebaasidele, peavad olema eriti ettevaatlikud.

Häkkerid korraldavad Internetis järjepidevat otsingut. Need arvatavasti Hiinas asuvad häkkerid otsivad Windowsi servereid, mis käitavad MySQL-i andmebaase. Ilmselt plaanib rühm seda teha nakatada neid süsteeme lunavara GandCrab .

Lunavara on keerukas tarkvara, mis lukustab failide tegeliku omaniku ja nõuab digitaalse võtme kaudu saatmiseks tasu. Huvitav on märkida, et küberturbeettevõtted pole seni näinud ühtegi ohutegijat, kes oleks rünnanud Windowsi süsteemides töötavaid MySQL-i servereid, et nakatada neid lunavaraga. Teisisõnu on haruldane, et häkkerid otsivad haavatavaid andmebaase või servereid ja installivad pahatahtlikku koodi. Tavaliselt on tavaks tavaks andmete varastada süstemaatiliselt, püüdes avastamisest kõrvale hiilida.

Viimase katse Internetis roomata, otsides haavatavaid MySQL-i andmebaase, mis töötavad Windowsi süsteemides, paljastas Sophose juhtivteadur Andrew Brandt. Brandti sõnul näivad häkkerid otsivat Internetile ligipääsetavaid MySQL-i andmebaase, mis aktsepteeriksid SQL-käske. Otsinguparameetritega kontrollitakse, kas süsteemides töötab Windows OS. Sellise süsteemi leidmisel kasutavad häkkerid seejärel pahatahtlikke SQL-käske, et istutada fail avatud serveritesse. Kui nakkus on õnnestunud, kasutatakse seda hiljem lunavara GandCrab hostimiseks.

Need viimased katsed on seotud sellega, et Sophose teadlasel õnnestus need leida kaugserverist, mis võib olla üks paljudest. Ilmselt oli serveril avatud kataloog, mis käitas serveritarkvara nimega HFS, mis on HTTP-failiserveri tüüp. Tarkvara pakkus statistikat ründaja pahatahtlike koormuste kohta.

Järelduste põhjal tegi Brandt: 'Tundub, et server osutab rohkem kui 500 proovile, mida nägin MySQL-i kärgpoti allalaadimist (3306-1.exe). Kuid näidised 3306-2.exe, 3306-3.exe ja 3306-4.exe on selle failiga identsed. Kui kokku arvestada, on viie päeva jooksul pärast nende serverisse paigutamist olnud ligi 800 allalaadimist ning avatud kataloogis on üle 2300 teise (umbes nädal vanema) GandCrabi näidise allalaadimist. Nii et kuigi see pole eriti massiline ega laialt levinud rünnak, kujutab see tõsist ohtu MySQL-i serveri administraatoritele, kes on oma andmebaasiserveris porti 3306 tulemüüri kaudu auku pistnud, et välismaailmale oleks see kättesaadav. '

Rahustav on tõdeda, et kogenud MySQL-i serveriadministraatorid seadistavad oma servereid harva või halvimal juhul jätavad oma andmebaasid paroolideta. Kuid, sellised juhtumid pole haruldased . Ilmselt näib püsivate kontrollide eesmärk valesti seadistatud süsteemide või paroolideta andmebaaside oportunistlikku kasutamist.