MySQL worm infecteert Windows servers
Sans.org schrijft over een nieuwe MySQL worm, die zich richt op MySQL servers draaiend onder Windows. De worm gebruikt een bruteforce aanval om root toegang op de MySQL server te krijgen en gebruikt dan de "MySQL UDF Dynamic Library Exploit" om lokaal een DLL bestand te kunnen schrijven en de worm te starten. Vervolgens connect de worm naar een aantal IRC servers en kan dan via deze servers nieuwe instructies krijgen. Volgens de laatste update van SANS zijn inmiddels een paar duizend servers overgenomen. Systeembeheerders met MySQL onder Windows wordt dringend aangeraden geen makkelijk MySQL root password te kiezen, TCP poort 3306 te filteren en/of root toegang te beperken tot vertrouwde hosts.
update 19:50: typo in portnummer gefixed
het gaat om poort 3306. Mijn vermoeden is dat het een worm van
nederlands makelij is, hij connect naar IRC en gaat naar
#rampenstampen. Als je op google zoekt naar dat woord zie je dat het
typisch nederlands is.
key 'gratisporn'.
altijd die nederlands skids weer.
firewall geblokt worden.
/Maar is het raadzaam om poort 3306 te blokken voor verkeer
voor buitenaf ?
dat ze dan ook met een site komen, dan kan die in de
firewall geblokt worden.
lees 't stukje, ze hebben eigen irc servers, dunkt me.
/Maar is het raadzaam om poort 3306 te blokken voor verkeer
voor buitenaf ?
Als er geen clients zijn die op iets anders dan localhost
connecten wel.
dat ze dan ook met een site komen, dan kan die in de
firewall geblokt worden.
lees 't stukje, ze hebben eigen irc servers, dunkt me.
'hadden' :)
/Maar is het raadzaam om poort 3306 te blokken voor verkeer
voor buitenaf ?
de MySQL database, sta je alleen die machines toe (gewoon op
IP basis, een beetje firewall moet dat wel kunnen.)
aangeraden geen makkelijk MySQL root password te kiezen, TCP
poort 3306 te filteren en/of root toegang te beperken tot
vertrouwde hosts."
En natuurlijk systeembeheerders overal wordt dat aangeraden,
ook op linux.
een autohacker voor die exploit.
maja nu gaan ze weer patchen,
werdt tijd :)
en je helpt ook nog eens mee verspreiden zodat iedereen er zo snel
mogelijk van kan genieten.. gewoon laten gaan dus systeembeheerdertjes!
genaamd '' test2.dll'' en een map die ik niet kon verwijderen... dan zei hij ''
de map kon niet worden verwijderd omdat hij niet leeg is'' ik kwam er niet
meer uit en heb toen snel een backup gemaakt van mijn server en de
schijf geformateerd! hij draait nu weer normaal!
eric
ik heb de worm ook in mijn server gehad!!! ik kreeg een .dll
bestandje
genaamd '' test2.dll'' en een map die ik niet kon
verwijderen... dan zei hij ''
de map kon niet worden verwijderd omdat hij niet leeg is''
ik kwam er niet
meer uit en heb toen snel een backup gemaakt van mijn server
en de
schijf geformateerd! hij draait nu weer normaal!
eric
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
