Összefoglaló
A Rex zsaroló kártevő elsősorban sérülékeny Drupal site-okat céloz, és SQL befecskendezéses támadás során jut be a támadott rendszerbe, majd megváltoztatja az admin hitelesítési adatokat, ezzel zárolva a fiókot.
Leírás
Az oldal feloldását egy váltságdíj bitcoin-ban való megfizetéséhez köti, az alábbi fizetési felszólítást helyezi el az oldalon:
“Website is locked!
Website is locked. Please transfer 1.4 BitCoin to address
3M6SQh8Q6d2j1B4JRCe2ESRLHT4vTDbSM9 to unlock content.“
- Első lépésben (botnet hálózat részeként) a malware sérülékeny verziójú Drupal (illetve egyéb tartalomkezelő) oldalakat keres.
- A fertőzés során létrehoz egy alternatív admin fiókot, a korábbit pedig zárolja, valamint elhelyezi a zsaroló üzenetet az oldalon.
- Majd további botnet hálózatokkal folytat kommunikációt.
A malware jellemzően korábbi, NEM 0-day biztonsági réseket használ ki, Drupal 7-es verziójú site-ok esetében például egy 2014-es sérülékenységet (CVE-2014-3704).
A malware egy további funkciója, a ‘RansomScanner‘, amely elosztott szolgáltatás-megtagadás (DDoS) fenyegetést küld e-mailben az “Armada Collective” csoportra hivatkozva. (Ez a kiberbűnözői csoport 2016 márciusa óta már több pénzintézetet fenyegetett meg elosztott szolgáltatás-megtagadással, azonban a támadás jellemzően elmaradt.)
A Drupal mellett ismert kihasználó kód a következő rendszerek esetében is: WordPress, Magento, Apache Jetspeed, Exagrid, AirOS RCE
Megoldás
Mindig frissítse a használt tartalomkezelőt a legfrissebb elérhető verzióra!
Támadás típusa
Command InjectionDeny of service (Szolgáltatás megtagadás)
Information disclosure (Információ/adat szivárgás)
Privilege escalation (jogosultság kiterjesztés)
Ransomware
SQL Injection
Security bypass (Biztonsági szabályok megkerülése)
System access (Rendszer hozzáférés)
Hatás
Loss of integrity (Sértetlenség elvesztése)Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Egyéb referencia: thisissecurity.net
Egyéb referencia: news.softpedia.com
Egyéb referencia: tech.cert-hungary.hu
Egyéb referencia: tech.cert-hungary.hu
CVE-2014-3704 - NVD CVE-2014-3704
CVE-2016-0710 - NVD CVE-2016-0710
CVE-2016-1560 - NVD CVE-2016-1560