Hadoop Yarn RPC 0 Day在野利用分析与传播手段披露

0x01 概述

近日，阿里云安全监测到Kinsing僵尸网络变种，除了沿用之前攻击手法，最新利用了Hadoop Yarn RPC未授权访问漏洞进行传播。

Hadoop作为一个分布式计算应用框架，种类功能繁多，而Hadoop Yarn作为其核心组件之一，负责将资源分配至各个集群中运行各种应用程序，并调度不同集群节点上的任务执行。Hadoop Yarn RPC未授权访问使得攻击者无需认证即可通过RPC通信执行恶意命令。

Hadoop作为大数据计算基础组件往往集群化部署，一旦一台主机沦陷其整个集群都将受到威胁，其对外暴露端口服务会造成极大威胁。阿里云安全持续对该BOT进行监控，发现近期传播有所上升，提醒广大用户注意防护。

0x02 传播手段

Kinsing僵尸网络通过Hadoop Yarn RPC未授权访问和Hadoop Yarn Rest API未授权访问漏洞入侵和传播，利用f.sh脚本下载挖矿木马kinsing并执行挖矿。

Hadoop Yarn作为Hadoop核心组件之一，负责将资源分配至各个集群中运行各种应用程序，并调度不同集群节点上的任务执行。其官网(https://hadoop.apache.org/docs/current/hadoop-yarn/hadoop-yarn-site/YARN.html)介绍: ResourceManager 和 NodeManager 构成了数据计算框架。ResourceManager 是在系统中的所有应用程序之间仲裁资源的最终权威。

NodeManager 是每台机器的框架代理，负责容器、监控其资源使用情况（cpu、内存、磁盘、网络）并将其报告给ResourceManager/Scheduler。每个应用程序的 ApplicationMaster 实际上是一个特定于框架的库，其任务是协商来自 ResourceManager 的资源并与NodeManager 一起执行和监视任务。

如上介绍的ResourceManager功能，一旦远程命令执行代码被提交便会在各个节点中运行，入侵和感染路径如下图所示。

ATTproperty> name>hadoop.security.authentication/name> value>kerberos/value> final>false/final> source>core-site.xml/source> /property> ... property> name>hadoop.rpc.protection/name> value>authentication/value> final>false/final> source>core-default.xml/source> /property>

开启Kerberos认证之后，Client端无法在非授权情况下访问，会返回SIMPLE authentication is not enabled异常，成功阻断非授权情况下的任意命令执行问题。

2）云防火墙利用大数据对互联网上最新出现RCE进行实时监控，从RCE披露到响应时间整体小于3小时，能够有效阻止客户资产被RCE漏洞攻击，其支持3-7层协议不仅满足对Web网站的HTTP协议的防护，同时支持4层大量非Web服务的防御。当前云防火墙默认支持对Hadoop Yarn RPC远程命令执行漏洞的防御。

3）云防火墙智能策略依据历史流量自学习，提供符合客户业务暴露面收敛的最佳实践，通过“一键下发”或“自主选择”可以实现资产的最大程度的互联网暴露收敛，避免端口对外不当暴露风险，同时有效阻止“重保模式”下网络空间测绘的扫描行为。

0x06 IOC

URL
http://114.214.169.174/kinsing
http://114.214.169.174/f.sh

IP
114.214.169.174

md5
7d468dd3257af321562dea36af00de62

0x07 参考

https://hadoop.apache.org/docs/current/hadoop-yarn/hadoop-yarn-site/YARN.html
https://www.freebuf.com/articles/system/286885.html
https://hadoop.apache.org/cve_list.html
https://hadoop.apache.org/docs/current/hadoop-project-dist/hadoop-common/SecureMode.html#Configuration