Muchos servidores Redis están infectados con software malicioso sofisticado y especialmente diseñado

Un actor de amenazas desconocido ha estado minando silenciosamente la criptomoneda Monero en servidores Redis de código abierto en todo el mundo durante años, utilizando una variante de malware personalizada que es prácticamente indetectable por las herramientas antivirus tradicionales y sin agentes.

Desde septiembre de 2021, el actor de amenazas ha comprometido al menos 1200 servidores Redis, utilizados por miles de organizaciones, en su mayoría más pequeñas, como base de datos o caché, y ha tomado el control total sobre ellos. Los investigadores de Aqua Nautilus, que descubrieron la campaña atacando uno de sus honeypots, rastrean el malware como «HeadCrab».

Malware residente en memoria sofisticado

En una publicación de blog esta semana, el proveedor de seguridad describió a HeadCrab como un malware residente en la memoria que representa una amenaza constante para los servidores Redis con acceso a Internet. Muchos de estos servidores no tienen habilitada la autenticación de forma predeterminada, ya que están diseñados para ejecutarse en redes cerradas y seguras.

Aguas Análisis de HeadCrab mostró que el malware está diseñado para aprovechar el funcionamiento de Redis al replicar y sincronizar datos almacenados en varios nodos dentro de un clúster de Redis. El proceso implica un comando que básicamente permite a los administradores designar un servidor dentro de un clúster de Redis como «esclavo» de otro servidor «maestro» dentro del clúster. Los servidores esclavos se sincronizan con el servidor maestro y realizan una variedad de acciones, incluida la descarga de módulos que pueden estar presentes en el servidor maestro. Los módulos Redis son archivos ejecutables que los administradores pueden usar para ampliar la funcionalidad de un servidor Redis.

Los investigadores de Aqua encontraron que HeadCrab explotó este proceso a un Minero de criptomonedas expuesto a internet sistemas redis. Por ejemplo, cuando atacó su honeypot, el actor de amenazas usó el comando SLAVEOF Redis legítimo para esclavizar el honeypot Aqua a un servidor Redis maestro controlado por el atacante. Luego, el servidor maestro inició un proceso de sincronización, durante el cual el atacante descargó un módulo Redis malicioso que contenía el malware HeadCrab.

Asaf Eitani, investigador de seguridad de Aqua, dice que varias de las características de HeadCrab indican un alto nivel de sofisticación y familiaridad con los entornos de Redis.

Una gran señal de esto es el uso del marco del módulo Redis como herramienta para realizar acciones maliciosas, en este caso, descargar el malware. También es significativo el uso que hace el malware de la API de Redis para comunicarse con un servidor de comando y control (C2) controlado por un atacante alojado en un servidor aparentemente legítimo pero comprometido, dice Eitani.

«El malware se diseñó específicamente para los servidores de Redis, ya que depende en gran medida del uso de la API de los módulos de Redis para comunicarse con su operador», señala.

HeadCrab implementa funciones de ofuscación sofisticadas para permanecer oculto en los sistemas comprometidos, realiza más de 50 acciones completamente sin archivos y utiliza un cargador dinámico para ejecutar archivos binarios y evadir la detección. “El actor de amenazas también modifica el comportamiento normal del servicio de Redis para disfrazar su presencia y evitar que otros actores de amenazas infecten el servidor a través de la misma configuración incorrecta que utilizó para lograr la ejecución”, señala Eitani. «En general, el malware es muy complejo y utiliza múltiples métodos para obtener una ventaja sobre los defensores».

El malware está optimizado para criptominería y parece haber sido diseñado específicamente para servidores Redis. Pero tiene opciones integradas para hacer mucho más, dice Eitani. Como ejemplos, cita la capacidad de HeadCrab para robar claves SSH para infiltrarse en otros servidores y potencialmente robar datos, y su capacidad para cargar un módulo de kernel sin archivos para comprometer completamente el kernel de un servidor.

Assaf Morag, analista líder de amenazas en Aqua, dice que la compañía no ha podido atribuir los ataques a un actor de amenazas conocido o a un grupo de actores. Sin embargo, sugiere que las organizaciones que usan servidores Redis deberían asumir una violación total si descubren HeadCrab en sus sistemas.

«Refuerce sus entornos escaneando sus archivos de configuración de Redis, asegúrese de que el servidor requiera autenticación y no permita comandos «slaveof» cuando no sean necesarios, y no exponga el servidor a Internet cuando no sea necesario», aconseja Morag.

Según Morag, una búsqueda de Shodan arrojó más de 42,000 servidores Redis conectados a Internet. De ellos, alrededor de 20.000 servidores permitieron algún tipo de acceso y podrían infectarse potencialmente a través de un ataque de fuerza bruta o una vulnerabilidad, dice.

HeadCrab es el segundo malware dirigido a Redis que Aqua ha informado en los últimos meses. En diciembre, el proveedor de seguridad descubrió Redigo, una puerta trasera de Redis escrito en el idioma Go. Al igual que con HeadCrab, Aqua descubrió el malware cuando los atacantes lo instalaron en un honeypot vulnerable de Redis.

«En los últimos años, los servidores de Redis han sido atacados por atacantes, a menudo a través de configuraciones incorrectas y vulnerabilidades», dice la publicación del blog de Aqua. «A medida que los servidores Redis se han vuelto más populares, la frecuencia de los ataques ha aumentado».

Redis expresó su apoyo a los investigadores de ciberseguridad en un comunicado y dijo que quería reconocer a Aqua por compartir el informe con la comunidad de Redis. «Su informe demuestra los peligros potenciales de una mala configuración de Redis», dijo el comunicado. «Animamos a todos los usuarios de Redis a seguir los avisos de seguridad y las mejores prácticas publicadas en nuestra documentación comercial y de código abierto».

No hay indicios de que el software Redis Enterprise o los servicios Redis Cloud se hayan visto afectados por los ataques de HeadCrab, según el comunicado.