Attacchi automatizzati ai server MongoDB esposti: oltre 208.500 vulnerabili

Analisi Tecnica: Attacchi di Estorsione dei Dati su MongoDB Esposti

È stato segnalato un attore minaccioso che sta prendendo di mira istanze MongoDB esposte in attacchi di estorsione dati automatizzati, chiedendo bassi riscatti ai proprietari per ripristinare i dati. L'attaccante si concentra sui "frutti bassi", ovvero database che sono insicuri a causa di una configurazione errata che consente l'accesso senza restrizioni.

Sono state compromesse circa 1.400 server esposti e la richiesta di riscatto era di circa $500 in Bitcoin. Fino al 2021, si sono verificati numerosi attacchi che hanno eliminato migliaia di database e richiesto il pagamento del riscatto per ripristinare le informazioni.

Un'esercitazione di pentesting condotta dai ricercatori della società di cybersecurity Flare ha rivelato che questi attacchi continuano, anche se a scala ridotta. I ricercatori hanno scoperto più di 208.500 server MongoDB esposti pubblicamente, di cui 100.000 espongono informazioni operative e 3.100 possono essere accessibili senza autenticazione.

La metà circa (45,6%) di quelli con accesso non limitato era già stata compromessa quando Flare li ha esaminati. Il database era stato cancellato e lasciato un messaggio di riscatto.

• Rischi: I database MongoDB esposti rappresentano un rischio per la sicurezza dei dati aziendali.
• Misure di Mitigazione: Per mitigare il rischio, gli amministratori MongoDB dovrebbero evitare di esporre le istanze al pubblico a meno che non sia strettamente necessario. Inoltre, è importante utilizzare forti misure di autenticazione e applicare regole del firewall e le politiche della rete Kubernetes che consentono solo connessioni attendibili.

Contesto: DI MERCATO/SICUREZZA: Dati, trend correlati, impatto sul settore.

Il panorama della sicurezza informatica è costantemente minacciato da attacchi automatizzati che mirano a sistemi esposti e vulnerabili. Un esempio recente di questo fenomeno è l'attacco ai server MongoDB esposti, in cui un attore minaccioso ha preso di mira circa 1.400 server con richieste di riscatto per il ripristino dei dati, chiedendo somme relativamente basse (circa $500 in Bitcoin).

Questi attacchi non sono nuovi e si sono verificati anche nel passato, con migliaia di database cancellati e richieste di riscatto per il loro ripristino. In alcuni casi, gli attaccanti hanno cancellato i database senza fare richieste di denaro.

Una recente analisi della società di cybersecurity Flare ha rilevato che ci sono ancora oltre 208.500 server MongoDB esposti pubblicamente, di cui circa 100.000 espongono informazioni operative e 3.100 possono essere accessibili senza autenticazione. Più della metà di questi ultimi erano già stati compromessi al momento dell'analisi.

Gli attacchi ai server MongoDB esposti sono un fenomeno in continua evoluzione, con un attore minaccioso che sembra concentrarsi su questo tipo di attacco. Gli amministratori dei database MongoDB devono quindi adottare misure di sicurezza più rigorose, come l'uso di autenticazione forte e il monitoraggio continuo delle esposizioni.

Inoltre, è importante aggiornare i sistemi a versioni più recenti per evitare vulnerabilità note (n-day flaws) e limitare la possibilità di attacchi DoS. In caso di esposizione, le credenziali devono essere rotate e i log esaminati per attività non autorizzate.

Per mitigare il rischio di attacchi automatizzati, è necessario adottare un approccio più proattivo alla sicurezza informatica, evitando l'esposizione pubblica dei sistemi a meno che non sia strettamente necessario e implementando controlli rigorosi sull'accesso alle risorse.

Fonte: BleepingComputer, BleepingComputer, BleepingComputer, Flare

**STRATEGIA E DIFESA: Consigli pratici per l'utente/investitore**

Proteggi i tuoi dati: il caso dei database MongoDB

Gli attacchi contro i database esposti sono in aumento, con un actor della minaccia che sta prendendo di mira le istanze MongoDB non protette. Questi attacchi si concentrano sui database che presentano configurazioni errate, permettendo l'accesso senza restrizioni.

• Proteggi i tuoi dati: Assicurati di utilizzare forti misure di autenticazione e di limitare l'accesso solo alle connessioni affidabili attraverso il firewall e le policy della rete Kubernetes.
• Aggiorna regolarmente il software: Mantenere i database MongoDB aggiornati alla versione più recente può aiutare a prevenire falle di sicurezza note (n-day flaws).
• Monitora costantemente: Tieni sotto controllo la tua infrastruttura IT e verifica regolarmente se ci sono esposizioni indesiderate. In caso di esposizione, cambia le credenziali e controlla i log per eventuali attività non autorizzate.

Ricorda che l'infrastruttura IT moderna si muove rapidamente e richiede un'attenzione costante per garantire la sicurezza dei dati.

Le attuali campagne di attacchi contro le istanze esposte di MongoDB sono il risultato della negligenza nella configurazione dei database, che consentono l'accesso senza restrizioni. Gli attaccanti si concentrano sui database con una bassa protezione e chiedono un riscatto relativamente basso in Bitcoin per ripristinare i dati.

È stato stimato che circa 1,400 server esposti sono stati compromessi e il riscatto richiesto era di circa $500 in Bitcoin. Tuttavia, gli attaccanti non sempre chiedono un riscatto finanziario e talvolta cancellano semplicemente i database senza alcuna richiesta.

Un'analisi delle note di riscatto ha mostrato che la maggior parte di esse richiedeva un pagamento di 0,005 BTC entro 48 ore. Tuttavia, non c'è garanzia che gli attaccanti abbiano effettivamente i dati o forniscano una chiave di decrittazione funzionante se pagato.

Per proteggere i database MongoDB, è importante evitare di esporli pubblicamente a meno che non sia strettamente necessario. Inoltre, è fondamentale utilizzare forti misure di autenticazione, applicare regole del firewall e le politiche della rete Kubernetes che consentono solo connessioni attendibili e aggiornare costantemente MongoDB alla versione più recente.

In caso di esposizione, è necessario ruotare le credenziali e esaminare i registri per attività non autorizzate. In questo modo, si può ridurre il rischio di attacchi e proteggere i dati sensibili.