Redis主机入侵应急响应

本次事件中，Redis 服务因未授权访问被攻击者利用，植入恶意后门模块并尝试下载远控木马。得益于主机 Defender 的持续拦截，攻击者未能成功上线。但主机已暴露于极高风险之中。

一、事件背景

• 告警时间：2025年8月15日
• 告警来源：阿里云安全平台
• 告警内容：Redis 定时任务写入异常
• 初步判断：Redis 服务被未授权访问，疑似植入恶意代码

二、调查过程

1. 主机监听服务排查

对受影响主机进行端口与服务检查，发现 Redis、SMB、SSH 等多个高危服务均对外开放，攻击面较大。

2. 暴力破解攻击痕迹

日志分析显示，主机的 SMB 和 SSH 服务存在大量暴力破解尝试，存在弱口令被猜解的风险。

SMB 爆破记录：

SSH 爆破记录：

3. Redis 恶意模块植入

进一步取证发现，Redis 进程目录下被写入了 exp.dll 模块。经分析，该 DLL 为恶意后门模块，能够远程执行系统命令。

相关日志与内存调用信息证明，exp.dll 已被 Redis 以 system 模块加载，攻击者可通过以下命令远程控制主机：

system.exec whoami

恶意模块执行流程（伪代码分析）：

1. 接收远程命令
2. 使用 popen 在操作系统级别执行命令
3. 返回结果给攻击者

证据截图：

4. 远控木马下载行为

攻击者利用 system.exec 模块，进一步尝试在主机上执行 PowerShell 下载/执行木马程序，实现持久化和横向渗透。

攻击命令大致流程：

1. 通过 TCP 连接 8.217.21.175:60109 下载后门木马（如 04f7j90pym.exe）到临时目录
2. 启动该木马，携带参数上线

恶意服务器 IP（攻击者 C2）： 8.217.21.175

相关取证截图：

Defender 拦截记录：

5. 溯源分析

• 根据 Redis 和安全日志，攻击活动最早可追溯至 2025年7月24日，存在长期控制和利用痕迹。
• 结合空文件创建时间，推测受害主机遭遇入侵的时间可能更早。

三、攻击链总结

四、事件结论

1. 攻击者利用 Redis 未授权访问（或弱口令）机制，通过主从复制的方式远程写入 exp.dll 恶意模块，实现了系统命令远控。
2. 攻击者尝试多次远程下发 PowerShell 命令，下载并执行后门木马程序，均被 Defender 拦截。
3. 未观察到有横向移动的迹象，推测因为 Defender 持续拦截 C2 木马，导致攻击者未能成功上线该主机。

五、处置建议

• 关闭不必要的端口暴露：Redis、SMB 等高危服务不应对外开放。
• 强制修改弱口令：对所有对外服务账户执行强口令策略。
• Redis 配置加固：启用密码认证，绑定 127.0.0.1，禁用 dangerous commands（如 CONFIG、FLUSHALL）。
• 部署主机安全软件：确保 Defender 等端点防护工具持续运行并更新特征库。
• 网络隔离与监控：对可疑 IP（如 8.217.21.175）进行封禁，并持续监控出站连接。