Sandro Sana : 26 Giugno 2024 14:47
Negli ultimi mesi, la comunità della sicurezza informatica ha scoperto un nuovo worm noto come P2PInfect che ha iniziato a prendere di mira i server Redis vulnerabili. Questo malware non solo si diffonde rapidamente attraverso una rete peer-to-peer, ma sfrutta anche una vulnerabilità critica per stabilire un controllo persistente sui sistemi infetti. Il worm rappresenta una minaccia significativa sia per i server Linux che Windows, e il suo comportamento sofisticato richiede attenzione immediata da parte degli amministratori di sistema per prevenire possibili compromissioni. Ecco una panoramica dettagliata di come opera P2PInfect e le misure necessarie per mitigare questa minaccia.
P2PInfect è scritto in Rust, un linguaggio che facilita la sua operatività su piattaforme sia Windows che Linux. Il malware sfrutta una vulnerabilità di sandbox escape di Lua (CVE-2022-0543), che consente l’esecuzione di codice remoto sui server Redis vulnerabili. La sua capacità di replicarsi in un ambiente distribuito gli permette di creare una rete peer-to-peer (P2P), eliminando la necessità di un server di controllo centralizzato e rendendo più complesso il tracciamento e l’interruzione delle sue attività (SecurityWeek) (SOCRadar® Cyber Intelligence Inc.).
CVE-2022-0543 è una vulnerabilità critica che affligge Redis, un database in-memory molto popolare. Questa vulnerabilità è una “sandbox escape” che consente agli attaccanti di eseguire codice arbitrario sul server vulnerabile.
Distribuisci i nostri corsi di formazione diventando un nostro Affiliato
Se sei un influencer, gestisci una community, un blog, un profilo social o semplicemente hai tanta voglia di diffondere cultura digitale e cybersecurity, questo è il momento perfetto per collaborare con RHC Academy. Unisciti al nostro Affiliate Program: potrai promuovere i nostri corsi online e guadagnare provvigioni ad ogni corso venduto. Fai parte del cambiamento. Diffondi conoscenza, costruisci fiducia, genera valore.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
La CVE-2022-0543 è causata da un difetto nella gestione del codice Lua all’interno di Redis. Lua è un linguaggio di scripting leggero utilizzato in Redis per estendere le funzionalità del database. La vulnerabilità si verifica quando un attaccante può sfruttare la sandbox Lua per eseguire comandi non autorizzati sul sistema host. Questo exploit permette l’esecuzione di comandi con i privilegi dell’utente Redis, che spesso è configurato con diritti elevati sul server.
Questa vulnerabilità consente agli attaccanti di prendere il controllo completo del server Redis compromesso, eseguendo qualsiasi comando con i privilegi dell’utente Redis. Questo potrebbe portare a:
Una volta compromesso un server Redis, P2PInfect carica un file oggetto condiviso dannoso per ottenere l’accesso alla shell inversa, mantenendo la funzionalità normale del server per evitare sospetti. Il worm utilizza varie tecniche per mantenere il controllo, inclusi aggiornamenti dinamici della configurazione in memoria e meccanismi di persistenza cron per riattivare il payload principale ogni 30 minuti. Inoltre, il malware può sovrascrivere le chiavi SSH autorizzate per prevenire l’accesso legittimo e, se ottiene l’accesso root, modifica le password degli utenti per bloccarli fuori dal sistema (SOCRadar® Cyber Intelligence Inc.) (Heimdal Security).
Redis (REmote DIctionary Server) è un database in-memory open source utilizzato come database, cache e broker di messaggi. È noto per le sue alte prestazioni e la sua versatilità, essendo capace di gestire una varietà di strutture dati come stringhe, hash, liste, set e sorted set.
Redis è ampiamente adottato in molti settori grazie alle sue prestazioni elevate e alla sua capacità di scalare orizzontalmente, supportando un gran numero di connessioni simultanee e operazioni al secondo.
A partire da agosto 2023, l’attività del botnet P2PInfect ha subito un notevole incremento, con tentativi di accesso iniziale che sono aumentati di 600 volte in settembre. Questo aumento dell’attività è stato accompagnato dall’emergere di nuove varianti del malware, suggerendo un continuo sviluppo da parte degli autori del worm. Le regioni più colpite includono Cina, Stati Uniti, Germania, Singapore, Hong Kong, Regno Unito e Giappone (SecurityWeek) (SOCRadar® Cyber Intelligence Inc.).
Gli obiettivi finali dei gestori di P2PInfect non sono ancora chiari. Sebbene il worm abbia tentato di scaricare payload per il cryptomining, non è stata rilevata attività di mining effettiva sui dispositivi compromessi. Questo potrebbe indicare che gli operatori stanno ancora testando le fasi finali dell’attacco o che stanno cercando di vendere l’accesso alla rete infetta ad altri cybercriminali (SOCRadar® Cyber Intelligence Inc.) (Heimdal Security).
Per proteggersi da P2PInfect, è essenziale che gli amministratori di server Redis aggiornino le loro istanze con le ultime patch di sicurezza e configurino adeguatamente i firewall per limitare l’accesso ai porti critici. Monitorare costantemente le attività di rete e implementare misure di rilevamento delle intrusioni può aiutare a identificare e mitigare tempestivamente le minacce (SecurityWeek) (Heimdal Security).
La vulnerabilità CVE-2022-0543 rappresenta una seria minaccia per i server Redis non configurati correttamente o non aggiornati. Sfruttando questa falla, gli attaccanti possono eseguire codice arbitrario e prendere il controllo dei server vulnerabili. Redis, d’altro canto, rimane uno strumento potente e versatile per la gestione dei dati in memoria, essenziale per molte applicazioni moderne. È cruciale che gli amministratori mantengano i loro sistemi aggiornati e seguano le migliori pratiche di sicurezza per mitigare i rischi associati a queste vulnerabilità.
Sandro SanaI ricercatori di Okta hanno notato che aggressori sconosciuti stanno utilizzando lo strumento di intelligenza artificiale generativa v0 di Vercel per creare pagine false che imitano qu...
Google è al centro di un’imponente causa in California che si è conclusa con la decisione di pagare oltre 314 milioni di dollari agli utenti di smartphone Android nello stato. Una giu...
La RHC Conference 2025, organizzata da Red Hot Cyber, ha rappresentato un punto di riferimento per la comunità italiana della cybersecurity, offrendo un ricco programma di talk, workshop e compet...
Nella giornata di ieri, Red Hot Cyber ha pubblicato un approfondimento su una grave vulnerabilità scoperta in SUDO (CVE-2025-32463), che consente l’escalation dei privilegi a root in ambie...
Il Dipartimento di Giustizia degli Stati Uniti ha annunciato la scoperta di un sistema su larga scala in cui falsi specialisti IT provenienti dalla RPDC i quali ottenevano lavoro presso aziende americ...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
