Se ha detectado un nuevo tipo de malware, conocido como P2Pinfect, que utiliza métodos no documentados previamente para comprometer servidores Redis. Este gusano se conecta a una red de bots mediante la explotación de instancias expuestas del almacén de datos Redis.
Explotación de vulnerabilidades en Redis
Según un informe publicado por Cado Security, el malware aprovecha la función de replicación de Redis para acceder a servidores susceptibles. Los investigadores destacan que este método es común en ataques contra entornos en la nube, donde se utiliza una instancia maliciosa para habilitar la replicación mediante el comando SLAVEOF.
El malware P2Pinfect fue documentado por primera vez por Unit42 de Palo Alto Networks. Se destacó su capacidad para explotar una vulnerabilidad crítica relacionada con el escape del sandbox de LUA, identificada como CVE-2022-0543, que tiene un puntaje CVSS de 10.0. La campaña se cree que comenzó en junio de 2023 o después.
Uso de múltiples vulnerabilidades
El último descubrimiento sugiere que los actores detrás de la campaña están aprovechando varias vulnerabilidades para el acceso inicial. Esta no es la primera vez que se abusa del comando SLAVEOF en ataques contra Redis. En 2018, actores de amenazas asociados a familias de malware como H2Miner y HeadCrab utilizaron esta técnica para extraer criptomonedas de forma ilícita.
Acceso inicial mediante cron malicioso
Otro vector de acceso inicial implica el registro de un cron malicioso en el host de Redis, que descarga el malware desde un servidor remoto al momento de la ejecución. Este método fue observado previamente en ataques montados por el grupo de cryptojacking WatchDog.
Distribución de cargas útiles y control de red
Una vez que se logra una brecha, el malware distribuye cargas útiles para alterar las reglas del firewall de iptables, actualizarse y potencialmente implementar mineros de criptomonedas en una fecha posterior, una vez que la red de bots haya crecido a un tamaño específico.
Arquitectura P2P y comportamiento de gusano
El malware utiliza una arquitectura P2P para su red de bots. Cada servidor infectado se convierte en un nodo que se conecta a otros servidores infectados, permitiendo la comunicación entre todos los nodos sin necesidad de un servidor C2 centralizado.
El comportamiento de gusano le permite expandir su alcance mediante el uso de una lista de contraseñas para ataque de fuerza bruta a servidores SSH y el intento de explotar la vulnerabilidad de escape del sandbox LUA o usar el comando SLAVEOF en caso de servidores Redis.
Identidad desconocida de los actores
Actualmente se desconoce la identidad de los actores detrás de la campaña. Unit42 señaló que los indicadores no se superponen con ninguno de los grupos conocidos de cryptojacking.
Diseño y técnicas utilizadas
Los investigadores destacaron que P2Pinfect está bien diseñado, utilizando técnicas sofisticadas para la replicación y el control de comunicación. La elección de usar Rust permite una portabilidad más fácil del código entre plataformas, al mismo tiempo que dificulta el análisis estático del código.