Hơn 27.000 cơ sở dữ liệu MongoDB bị tống tiền chỉ trong 1 tuần

23:49 | 26/01/2017 | HACKER / MALWARE

Liên tiếp trong thời gian gần đây hệ quản trị cơ sở dữ liệu MongoDB trở thành mục tiêu tấn công của tin tặc.

Hơn 27.000 cơ sở dữ liệu MongoDB bị tống tiền chỉ trong 1 tuần

Ngày 2/1/2017, các máy chủ sử dụng hệ quản trị cơ sở dữ liệu MongoDB được cảnh báo có thể bị tấn công do cấu hình sai - giúp tin tặc truy cập từ xa mà không cần bất cứ công cụ tấn công đặc biệt nào.

Ngay sau đó, MongoDB đã xử lý sự cố nghiêm trọng này bằng cách phát hành bản cập nhật thay đổi cấu hình mặc định hạn chế truy cập từ xa. Tuy nhiên, hàng nghìn website vẫn chưa được nâng cấp lên phiên bản mới. Tại thời điểm phát hiện, John Matherly, nhà sáng lập máy tìm kiếm Shodan cho biết hơn 200 cuộc tấn công đã xảy ra với số lượng xấp xỉ 2.000 cơ sở dữ liệu.

Tuy nhiên, chỉ trong 1 tuần, số lượng cơ sở dữ liệu MongoDB bị tống tiền đã tăng lên 27.000. Tin tặc có thể truy cập, sao chép và xóa toàn bộ những cơ sở dữ liệu MongoDB chưa được cập nhật hoặc cấu hình yếu và gửi thư đề nghị quản trị viên trao đổi dữ liệu bằng tiền chuộc.

Ban đầu, tin tặc yêu cầu trả 0.2 Bitcoin (gần 184 USD) cho mỗi cơ sở dữ liệu, nhưng sau đó đã tăng lên 1 Bitcoin (khoảng 906 USD). Các nhà nghiên cứu đã phát hiện 15 tin tặc nhau tham gia tấn công. Trong đó, tin tặc có biệt danh karke0 đã xâm nhập 15.482 cơ sở dữ liệu MongoDB nhưng chưa nạn nhân nào trả tiền chuộc.

Các cuộc tấn công xảy ra do quản trị viên cấu hình MongoDB không sử dụng mật khẩu. Rất nhiều trong số đó có thể được tìm thấy thông qua máy tìm kiếm Shodan.

Dấu hiệu bị tấn công

• Kiểm tra danh sách tài khoản MongoDB xem liệu có một tài khoản mới bí mật được thêm vào hay không.

• Kiểm tra GridFS xem có dữ liệu được lưu trữ bất thường không.

• Kiểm tra log file để biết được những ai đã truy cập vào MongoDB.

Khuyến cáo cách bảo vệ:

• Bật xác thực trong tệp tin cấu hình MongoDB auth = true.

• Sử dụng tường lửa - Vô hiệu hóa truy cập từ xa vào MongoDB. Chặn cổng truy cập 27017 hoặc gán địa chỉ IP nội bộ nhằm hạn chế truy cập đến máy chủ.

• Cập nhật phiên bản mới nhất của MongoDB.

‹ › ×

Tin cùng chuyên mục

Cảnh báo 7 hình thức lừa đảo phổ biến

12:00 | 12/04/2024

Mới đây, Cục An toàn thông tin khuyến nghị người dân cảnh giác với 7 hình thức lừa đảo trực tuyến phổ biến, gồm 5 hình thức trong nước và 2 hình thức có quy mô quốc tế.

Vụ Công ty chứng khoán VNDIRECT bị tấn công, có thể là do mã độc tống tiền

16:00 | 26/03/2024

Theo nhận định của các chuyên gia, Công ty chứng khoán VNDIRECT có thể đã bị tin tặc tấn công bằng hình thức mã độc tống tiền. Cho đến chiều 26/3, hệ thống của VNDIRECT và một số hệ thống liên quan vẫn trong trạng thái ngừng trệ hoạt động.

Phần mềm độc hại mới GTPDOOR đánh cắp thông tin thuê bao và dữ liệu cuộc gọi

08:00 | 21/03/2024

Phần mềm độc hại mới trên Linux có tên là GTPDOOR được thiết kế để nhắm mục tiêu vào các mạng viễn thông dựa trên khai thác giao thức đường hầm trên GPRS (GPRS Tunneling Protocol-GTP) để thực thi câu lệnh và điều khiển (C2).

Tin tặc Trung Quốc phân phối mã độc NSPX30 thông qua các bản cập nhật phần mềm

09:00 | 05/02/2024

Mới đây, công ty an ninh mạng ESET (Slovakia) báo cáo về việc một nhóm tin tặc gián điệp mạng của Trung Quốc đã thực hiện các chiến dịch tấn công mạng nhắm vào các cá nhân, tổ chức ở Trung Quốc và Nhật Bản. Bằng cách lợi dụng các lỗ hổng phần mềm để thao túng các bản cập nhật, các tin tặc đã phát tán mã độc và xâm phạm dữ liệu người dùng, đồng thời tạo các backdoor cho các cuộc tấn công trong tương lai.