Вредонос Sustes обновился и теперь распространяется через уязвимость в Exim (CVE-2019-10149).

Новая волна криптомайнера Sustes теперь использует для заражений июньскую уязвимость в почтовом сервере Exim. Начиная с 11 августа наши сетевые сенсоры PT Network Attack Discovery обнаруживают во входящем сетевом трафике попытки эксплуатации почтовых серверов.

Сканирование происходит с адреса 154.16.67[.]133, и команда в поле RCPT TO ведет к загрузке вредоносного bash-скрипта по адресу hxxp://154.16.67[.]136/main1. Цепочка скриптов приводит к установке на хост XMR-майнера и добавлению его в crontab. Скрипт добавляет свой публичный SSH-ключ в список authorized_keys текущего пользователя, что позволит злоумышленникам в дальнейшем получить беспарольный SSH-доступ к машине.

Кроме того, Sustes пытается распространиться на другие хосты из списка known_hosts по SSH; при этом ожидается, что подключение к ним происходит автоматически по публичному ключу. Процесс заражения повторяется вновь на доступных SSH-хостах.



Есть и еще способ распространения. Sustes исполняет цепочку Python-скриптов, последний из которых — hxxp://154.16.67[.]135/src/sc — содержит сканер случайных Redis-серверов, который также добавляет себя в crontab для автозапуска и свой ключ в список доверенных SSH-ключей на уязвимых Redis-серверах:

x = s2.connect_ex((self.host, 6379))
…
stt2=chkdir(s2, '/etc/cron.d')
rs=rd(s2, 'config set dbfilename crontab\r\n')
rs=rd(s2, 'config set dbfilename authorized_keys\r\n')
stt3=chkdir(s2, '/root/.ssh')

Избавиться от вредоноса Sustes довольно просто: удалите вредоносные файлы и скрипты с именами из списка ниже, а также очистите файлы crontab и known_hosts от вредоносных записей. Для заражения Sustes эксплуатирует и другие уязвимости, например уязвимость в Hadoop YARN ResourceManager, или использует брутфорс учетных записей.