[windows] Mysql worm is bezig!

[megamuch]

http://slashdot.org/article.pl?sid=05/01/27/1546222 <--

Er is voor zover ik zie nog geen fix. Iemand al meer info over dit vervelende ding? (spoolcll.exe)

Ik heb er nog geen last van, maar er zijn plenty users met een onveilige mysql machine. (including mysqelf )

[ Voor 4% gewijzigd door megamuch op 27-01-2005 18:33 ]

[MegaTronics]

dan moet je al wel poort 3306 open hebben staan vanaf het net lijkt mij

[Bor]

Lijkt mij ook. Een als het niet nodig is om netwerk access te krijgen dien je mysql natuurlijk ook nooit zo in te stellen dat ie dit wel kan.

Edit: enig onderzoek leert mij dat,

Read the article. It's not exploting a security hole in MySQL. It's exploiting MySQL installations that:

a) Are not firewalled to the world (who'd make a DB accessible directly to the Internet?)

b) Allow root/admin connections from the outside.

c) Have weak root/admin passwords.

Dit zal dus niet alleen voor mysql zijn maar ook andere sql based installaties pakken.

[ Voor 67% gewijzigd door Bor op 27-01-2005 21:53 ]

[AW_Bos]

Ik ben veilig, ik heb meestal in mijn router de poorten naar me webserv nooit open staan, en connecten naar poort 80 zal zowiezo dan lukken, maar naar 3306 echt niet.
Ik zit wel veilig zo .

[0xDEADBEEF]

Allereerst:
/me MySQL Forums :: Install :: MySQL Bot Alert - Secure Your Servers: http://forums.mysql.com/read.php?11,13194,13194#msg-13194

Wat een summiere info van SlashDot /rant

ISC SANS:

Infection Method

The bot uses the "MySQL UDF Dynamic Library Exploit". In order to launch the exploit, the bot first has to authenticate to mysql as 'root' user. A long list of passwords is included with the bot, and the bot will brute force the password.

Once connected, the bot will create a table called 'bla' using the database 'mysql'. The 'mysql' database is typically used to store administrative information like passwords, and is part of every mysql install. The only field in this database is a BLOB named 'line'.

Once the table is created, the executable is written into the table using an insert statement. Then, the content of is written to a file called 'app_result.dll' using 'select * from bla into dumpfile "app_result.dll"'. The 'bla' table is dropped once the file is created.

In order to execute the 'app_result.dll', the bot creates a mysql function called 'app_result' which uses the 'app_result.dll' file saved earlier. This function is executed, and as a result the bot is loaded and run.

[snip]

Post Infection Behavior

The bot will connect to the IRC server on port 5002 or 5003. At this point, the IRC servers appear busy and unable to accept new connections. Note that dynamic DNS services are used. The IP addresses will likely change. Last time we where able to connect, about 8,500 hosts where connected to the IRC server.

The bot will connect to a channel called '#rampenstampen' using the key 'gratisporn'. The topic of the channel is set to '!adv.start mysql 80 10 0 132.x.x.x -a -r -s'. This will instruct the bot to scan random ips in '132.0.0.0/8' for mysql server. Throughout our observation, the topic was changed regularly. To be scanned networks included 10.0.0.0/8, likely an attempt to infect other mysql servers within a local network that is otherwise protected by a firewall.

So far, the bot has been identified as a version of 'Wootbot'. It appears to include the usual set of bot features like a DDOS engine, various scanners, commands to solicit information from infected systems (e.g. system stats, software registration keys and such). The bot provides an FTP server, and a backdoors (details later. Appears to be listening on port 2301/tcp and 2304/tcp, maybe other ports).

[snip]

Mitigation

This bot does not use any vulnerability in mysql. The fundamental weakness it uses is a week 'root' account. The following mitigation methods will prevent exploitation:

Strong Password: Select a strong password, in particular for the 'root' account.
Restricted root account: Connections for any account can be limited to certain hosts in MySQL. This is in particular important for 'root'. If possible, 'root' should only be allowed to connect from the local host. MySQL will also allow you to force connections to use mysql's own SSL connection option.
Apply firewall rules: MySQL servers should not be exposed to the "wild outside". Block port 3306 and only allow access from selected hosts that require such access. Again, the use of ssh forwarding or SSL is highly recommended.

For a one page cheat-sheet explaining how to setup passwords and disable network access in mysql, see:http://isc.sans.org/papers/secwinmysql.pdf

FP Link
Webwereld: Mysql timmert beveiliging dicht na uitbraak worm

---

Zoals vast wel opviel, maakt MysSpooler gebruik van MySQL 4.0.x; waar 4.1 de "recommended version" is:

MySQL 4.1 -- Generally Available (GA) release (recommended)

IMO is het je eigen schuld als je de beveiliging van MySQL en de omgeving niet op orde hebt.

offtopic:
Warrige post

[ Voor 18% gewijzigd door 0xDEADBEEF op 29-01-2005 11:20 . Reden: Linkje bovenaan toegevoegd ]

[sanfranjake]

Het is niet slim om iemand zo vanaf een ander adres rechtstreks met mysql verbinden kan. De security lijkt mij dan ook dik in orde, totdat je zelf een configuratiefout maakt.

Er zal vast over enige dagen een kleine update komen om dit te dichten, maar tot die tijd kan je er natuurlijk alles zelf aan doen om een besmetting te voorkomen.....

[alt-92]

Zoals vast wel opviel, maakt MysSpooler gebruik van MySQL 4.0.x; waar 4.1 de "recommended version" is:

Alsof 4.1 heilig is.
Wij hebben apps die met 4.1 tegen de incompatible password change aanlopen en een aantal andere dingen die niet meer werken met 4.1.

ja leuk dat je --use old_passwords kan opgeven, maar 4.0.23 werkt ook nog prima, thank you very much.