Киберпреступники атакуют Redis-серверы с помощью нового майнера Migo

Злоумышленники используют инновационные команды ослабления защиты Redis для получения первоначального доступа. В частности, они отключают protected-mode (защищенный режим), replica-read-only (режим только для чтения реплик) и другие критические настройки через интерфейс командной строки Redis. Это позволяет обойти встроенные механизмы безопасности и подготовить почву для развертывания payload (полезной нагрузки).

Основная нагрузка представляет собой скомпилированный в Go ELF-бинарник, упакованный с помощью UPX и использующий обфускацию на этапе компиляции для затруднения анализа. После проникновения Migo загружает установщик XMRig напрямую с GitHub, настраивает конфигурацию майнера и обеспечивает устойчивость на системе через механизм systemd.

Особенностью кампании стало использование модифицированной версии пользовательского руткита libprocesshider, который скрывает процессы и файловые артефакты майнера от стандартных инструментов мониторинга. Это значительно осложняет обнаружение и последующий форензик-анализ.

Migo также предпринимает активные действия по устранению конкурирующих майнеров, блокирует исходящие подключения к IP-адресам cloud-провайдеров и вносит изменения в файл /etc/hosts для предотвращения связи с системами мониторинга. Атака демонстрирует растущую изощренность облачных злоумышленников, которые продолжают совершенствовать свои методы эксплуатации уязвимостей.

Эксперты рекомендуют администраторам Redis-серверов обеспечить строгую настройку аутентификации, ограничить сетевой доступ к портам Redis и регулярно обновлять программное обеспечение. Мониторинг необычной активности в конфигурационных файлах и неожиданных изменений в системных настройках может помочь в раннем обнаружении подобных атак.