Összefoglaló
A Rex zsaroló kártevő elsősorban sérülékeny Drupal site-okat céloz, és SQL befecskendezéses támadás során jut be a támadott rendszerbe, majd megváltoztatja az admin hitelesítési adatokat, ezzel zárolva a fiókot.
Leírás
Az oldal feloldását egy váltságdíj bitcoin-ban való megfizetéséhez köti, az alábbi fizetési felszólítást helyezi el az oldalon:
“Website is locked!
Website is locked. Please transfer 1.4 BitCoin to address
3M6SQh8Q6d2j1B4JRCe2ESRLHT4vTDbSM9 to unlock content.“
- Első lépésben (botnet hálózat részeként) a malware sérülékeny verziójú Drupal (illetve egyéb tartalomkezelő) oldalakat keres.
- A fertőzés során létrehoz egy alternatív admin fiókot, a korábbit pedig zárolja, valamint elhelyezi a zsaroló üzenetet az oldalon.
- Majd további botnet hálózatokkal folytat kommunikációt.
A malware jellemzően korábbi, NEM 0-day biztonsági réseket használ ki, Drupal 7-es verziójú site-ok esetében például egy 2014-es sérülékenységet (CVE-2014-3704).
A malware egy további funkciója, a ‘RansomScanner‘, amely elosztott szolgáltatás-megtagadás (DDoS) fenyegetést küld e-mailben az “Armada Collective” csoportra hivatkozva. (Ez a kiberbűnözői csoport 2016 márciusa óta már több pénzintézetet fenyegetett meg elosztott szolgáltatás-megtagadással, azonban a támadás jellemzően elmaradt.)
A Drupal mellett ismert kihasználó kód a következő rendszerek esetében is: WordPress, Magento, Apache Jetspeed, Exagrid, AirOS RCE
Megoldás
Mindig frissítse a használt tartalomkezelőt a legfrissebb elérhető verzióra!
Támadás típusa
Command InjectionDeny of service (Szolgáltatás megtagadás)
Information disclosure (Információ/adat szivárgás)
Privilege escalation (jogosultság kiterjesztés)
Ransomware
SQL Injection
Security bypass (Biztonsági szabályok megkerülése)
System access (Rendszer hozzáférés)
Hatás
Loss of availability (Elérhetőség elvesztése)Loss of confidentiality (Bizalmasság elvesztése)
Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Egyéb referencia: thisissecurity.net
Egyéb referencia: news.softpedia.com
Egyéb referencia: tech.cert-hungary.hu
Egyéb referencia: tech.cert-hungary.hu
CVE-2014-3704 - NVD CVE-2014-3704
CVE-2016-0710 - NVD CVE-2016-0710
CVE-2016-1560 - NVD CVE-2016-1560