黑客控制 3500+ Redis 服务器将其变成加密货币矿机

Rhinoer
Rhinoer

犀牛安全

2026年10月6日 00:00
山西

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一个大型加密货币挖矿组织入侵了 3,562 台 Redis 服务器，并将它们的处理能力转化为门罗币的收入来源。

此次攻击并非利用新发现的软件漏洞，而是针对那些无需身份验证即可接受命令的、面向互联网的 Redis 实例。

操作员扫描了 12,966 个潜在目标，然后利用 Redis 复制功能植入了一个定时任务，该任务下载并运行了一个挖矿程序。

这可能导致应用程序运行速度变慢、处理器使用率异常高、云费用增加，以及正常的 Redis 数据可能中断的风险。

Hunters.io 的研究人员在发现一个暴露的目录后，确认了该攻击活动，该目录包含 147 个文件，其中包括漏洞利用代码和攻击活动日志。

Hunters.io 在一份与网络安全新闻 (CSN) 分享的报告中表示，这些记录异常清晰地展示了该行动是如何构建、测试和衡量的。

日志显示，两次大规模攻击分别入侵了 3,388 台和 2,862 台主机，且两次攻击之间存在重叠。这意味着共有 3,562 台主机受到不同程度的攻击。

受影响的系统涵盖了 Redis 2.8.17 到 7.2.0 的版本，这表明配置问题（而不是某个易受攻击的版本）才是核心问题。

Redis 服务器变身加密货币挖矿机

此次攻击主要利用了 Redis 的主从复制机制。攻击者在确认某个服务器无需密码后，篡改了 Redis 的数据写入位置，并指示其从恶意服务器复制内容。

接收到的数据创建了一个 cron 任务，这是一个小型 Linux 调度程序条目，它会重复运行命令。每隔五分钟，该任务都会获取 XMRig，将其重命名以隐藏在临时文件中，并通过加密端口 443 将其连接到矿池。

这种方法可以让流量看起来比在专用端口上挖矿更正常。这与 之前一起 Redis 加密劫持事件中的模式类似，当时也是利用暴露且防护薄弱的实例作为攻击入口。

攻击者为计划任务使用了多个备用位置。他们还测试了添加 SSH 密钥和使用 Redis 脚本的方法，但这些尝试均未造成大规模的安全漏洞。

成功的复制方法之所以重要，是因为它利用了一个在多个版本中仍然可用的合法功能。

此次攻击的影响不仅限于被盗的计算资源。攻击期间，被篡改的 Redis 写入设置可能会干扰正常的快照文件。

因此，依赖 Redis 持久化的组织除了会遭受性能损失外，还可能面临数据丢失的风险。最近在 P2PInfect 暴露的 Redis 攻击中也发现了类似的复制滥用行为，这凸显了公开暴露 Redis 的危险性。

强化和狩猎优先级

防御者首先应该将 Redis 从直接互联网访问中移除，将其限制在受信任的网络中，并要求进行身份验证。

如果不需要复制功能，管理员应限制或重命名 SLAVEOF 或 REPLICAOF 命令，并保持保护模式启用。虽然仅升级无法解决此特定风险，但补丁程序对于其他风险仍然至关重要。

团队应检查 cron 目录和用户 crontab，查找对下载工具、归档提取或挖矿软件的意外引用。

他们还应该检查 Redis 设置，查看是否存在不寻常的数据目录或文件名，然后查找未经授权的 APT 钩子和登录 shell 脚本。

RedisRaider 挖矿活动报告也体现了更广泛的教训 ，该报告记录了攻击者如何将 Redis 访问控制薄弱转化为代码执行。

网络监控有助于识别已被攻击的系统。安全团队应调查与攻击活动基础设施的异常HTTP连接、加密挖矿流量以及从临时目录运行的进程持续占用处理器资源等问题。

该挖矿程序是合法软件，却被滥用，这种趋势在 Linux XMRig 挖矿活动中也有体现，因此检测应该侧重于行为，而不仅仅是文件名。

完整的响应应该隔离服务器，停止恶意进程，移除所有持久化机制，轮换 Redis 及相关凭证，并在恢复主机服务之前检查数据完整性。

管理员还应检查服务帐户 SSH 密钥位置，因为恢复的工具包试图将密钥放置在通常的 root 帐户路径之外，以寻找后续访问的迹象。

注意： IP 地址和域名已被故意隐去（例如，[.]），以防止意外解析或超链接。请仅在受控的威胁情报平台（例如 MISP、VirusTotal 或您的 SIEM）中重新启用。

信息来源：CyberSecurityNews