Se ha identificado una nueva campaña de cryptojacking denominada RedisRaider. Esta campaña aprovecha instancias de Redis accesibles en Internet, escaneando la red para encontrar servidores configurados inadecuadamente.
Metodología del ataque
Al encontrar un servidor Redis en Linux, se implanta un minero XMRig para Monero mediante un payload desarrollado en Go. El gusano incluye su propio scanner que prueba rangos aleatorios de la IPv4.
Al detectar Redis en el puerto 6379, ejecuta el comando INFO para confirmar que corre en Linux. Si el host es apto, usa el comando SET para crear una entrada de cron (clave t) con una vida útil de solo 120 segundos (TTL).
Posteriormente cambia el directorio de trabajo de Redis a /etc/cron.d mediante CONFIG SET dir. Renombra la base de datos a apache y fuerza BGSAVE.
El resultado es un fichero que el demonio cron interpreta como tarea programada y ejecuta cada minuto. La tarea cron decodifica un script Base64 que descarga el binario RedisRaider en /tmp/mysql.
Ejecución del payload
Le da permisos de ejecución y lo lanza con nohup para que siga activo incluso si termina el proceso padre. El binario, ofuscado con la herramienta Garble, actúa como dropper: desenpaqueta en memoria una versión personalizada de XMRig, la escribe sobre sí mismo y la ejecuta.
Propagación y beneficios
Paralelamente inicia nuevas corutinas que siguen escaneando otras direcciones Redis para expandir la infección. La infraestructura aloja un minero web para visitantes, maximizando beneficios.
Riesgos identificados
- Aprovechamiento de instancias Redis accesibles en Internet.
- Implantación de mineros XMRig para Monero.
- Ejecución de tareas programadas mediante cron.
- Descarga y ejecución de binarios ofuscados.
- Propagación a través de escaneo de direcciones Redis.
- Alojamiento de un minero web para visitantes.
Mitigaciones recomendadas
- Ejecutar Redis en modo protegido o restringirlo tras un cortafuegos/VPN.
- Deshabilitar el comando CONFIG en producción cuando sea posible.
- Monitorizar la aparición de archivos inusuales en /etc/cron.d y procesos XMRig.
- Mantener reglas de detección para tráfico anómalo al puerto 6379 y conexiones salientes al pool de minería.