Screenshot

MELEE: Инструмент для обнаружения заражений программами-вымогателями в экземплярах MySQL

Злоумышленники злоупотребляют экземплярами MySQL для проведения незаконных операций в Интернете. Киберпреступники нацеливаются на открытые экземпляры MySQL и запускают массовые заражения для кражи данных, уничтожения данных и вымогательства денег с помощью выкупа. Например, одна из значительных угроз, с которыми сталкиваются развертывания MySQL, — это программы-вымогатели. Мы создали инструмент под названием "MELEE" для обнаружения потенциальных заражений в экземплярах MySQL. Инструмент позволяет исследователям безопасности, пентестерам и экспертам по киберразведке выявлять скомпрометированные и зараженные экземпляры MySQL, выполняющие вредоносный код. Инструмент также позволяет проводить эффективные исследования в области вредоносного ПО, нацеленного на облачные базы данных. В этом выпуске инструмента поддерживаются следующие модули:

Сбор информации и разведка экземпляров MySQL
Экспонирование экземпляров MySQL в Интернете
Права доступа MySQL для оценки удаленного выполнения команд
Перечисление пользователей MySQL
Заражения программами-вымогателями MySQL
Базовые проверки для обнаружения заражений программами-вымогателями
Расширенные проверки для извлечения скрытых деталей о потенциальных заражениях программами-вымогателями
Обнаружение и сканирование программ-вымогателей MySQL как для неаутентифицированных, так и для аутентифицированных развертываний

Использование инструмента

$ python3 melee.py 
	--------------------------------------------------------------------


            __  ___________    ____________
           /  |/  / ____/ /   / ____/ ____/
          / /|_/ / __/ / /   / __/ / __/   
         / /  / / /___/ /___/ /___/ /___   
        /_/  /_/_____/_____/_____/_____/   
                                   

        MELEE (may-lay): A Tool to Detect Potential Infections in MySQL Deployments!
        Authored by: Aditya K Sood {https://adityaksood.com} 
        
	--------------------------------------------------------------------

[*] { MELEE } Tool Usage:

[*] { MELEE } - MySQLDB Ransomware Infection Detector .....

[*] usage: melee.py  <mysql host (local or remote)> <mysql service port> <mysql username> <mysql password> <module>
[*] MELEE supported modules:
     - map_mysql_geoip: map the GeoIP presence of the MySQL host
     - check_anonymous_access: verify if the remote MySQL host has anonymous access
     - enum_mysql_db_names: enumerate all the available MySQL databases
     - enum_mysql_db_tables: enumerate all the tables in active databases
     - enum_mysql_db_users: enumerate all the user names related to MySQL database (MySQL user) only
     - enum_active_users: enumerate all the logged-in users (information_schema.process list) only
     - check_ransomware_infection: detect a potential ransomware infection
     - deep_scan_ransomware_infection: launch a deep scan to extract infected resources and a ransom message

[*] example: melee.py 99.34.123.xxx 3306 root root check_ransomware_infection
[*] example: melee.py 89.34.451.xxx 3306 root "" deep_scan_ransomware_infection


[*] tool considerations:
     - for ransom message analysis, the file is dumped to the local directory with <mysql_host>_ransom_message.txt
     - for the anonymous access module, do not supply any password with a username
     - for weak authentication credentials, use combinations such as <root:root>, or other combinations

Исследовано и разработано Адитьей К. Судом и Рохитом Бансалом

melee

Популярное

MELEE: Инструмент для обнаружения заражений программами-вымогателями в экземплярах MySQL

Использование инструмента