Начиная с декабря 2016 года злоумышленники стали массово атаковать плохо настроенные и уязвимые установки MongoDB. Чаще всего хакеры попросту стирали из БД информацию и требовали выкуп за возвращение данных (которых у злоумышленников зачастую не было).
Первый инцидент такого рода был зафиксирован известным голландским ИБ-эксертом Виктором Геверсом (Victor Gevers) и выглядел как единичный случай, однако вскоре скоро такую тактику взяли на вооружение уже десятки хакерских групп. К середине 2017 года, по данным аналитиков, злоумышленники взломали уже более 45 000 баз данных, причем помимо MongoDB их также интересовали серверы ElasticSearch, Hadoop, CouchDB, Cassandra и MySQL.
И хотя оригинальные хакерские группы, практиковавшие такие атаки, остановились спустя всего несколько месяцев, так как захват БД «в заложники» почти не приносил им денег, эксперты еще долго обнаруживали всё новых участников атак, которые тоже решили попробовать себя в вымогательстве.
Теперь журналисты издания ZDNet обратили внимание, что атаки на MongoDB с целью получения выкупа продолжаются до сих пор, что в беседе с представителями издания подтвердил и Виктор Геверс, который продолжает «приглядывать» за активность хакеров.
Только за последний месяц Геверс обнаружил три новые вымогательские хак-группы, которые взломали и «взяли в заложники» около 3000 баз MongoDB. Преступники действуют по уже проверенной схеме: проникают в незащищенную БД, стирают все данные, а после себя оставляют записку с требованием выкупа, где утверждают, что якобы после оплаты выкупа они могут восстановить информацию, что является ложью.
По словам Геверса, новые атакующие действуют более неуклюже, чем их предшественники. Так, злоумышленники порой вообще забывают стереть БД, и две группы из трех пока не «заработали» на своих операция ничего, а на счету третьей группы можно найти лишь около 200 долларов. Эксперт уверен, что кто-то на черном рынке продает тулкит для таких атак, так как атаки практически идентичны, отличаются только email-адреса и Bitcoin-кошельки вымогателей, а также сами послания с требованием выкупа.
При этом Геверс отмечает, что с 2017 года практически ничего не поменялось. Преступники атакуют любые версии MongoDB, включая новейшие, то есть корень проблемы по-прежнему кроется не в каких-то непропатченных уязвимостях, а в слабых паролях или их полном отсутствии.
