🔍 Co się dzieje?
Cyberprzestępcy prowadzą wielkoskalowe, w pełni zautomatyzowane kampanie ransomware przeciwko instancjom MongoDB wystawionym do internetu.
Atakujący skanują sieć w poszukiwaniu baz danych dostępnych na porcie 27017 bez uwierzytelniania, usuwają wszystkie kolekcje i zostawiają żądania okupu w wysokości 500–600 dolarów w bitcoinach.
Najważniejsze ustalenia
- ⚙️ 45,6% w pełni wystawionych instancji MongoDB zawiera już żądania okupu
- 💰 98% płatności okupu trafia do jednego portfela bitcoin, co wskazuje na dominującego operatora
- 🌍 Ponad 200 000 serwerów MongoDB jest dostępnych z internetu
- 🔓 ~3100 instancji potwierdzono jako w pełni wystawione i pozbawione uwierzytelniania
Ataki te nie wykorzystują luki w MongoDB — opierają się wyłącznie na błędnych konfiguracjach wdrożeń.
Dlaczego to działa
- MongoDB powiązane z adresem 0.0.0.0 bez uwierzytelniania
- Port 27017 wystawiony do internetu
- Niezabezpieczone obrazy Dockera i szablony IaC kopiowane bez zmian
- Uwierzytelnianie nigdy nie zostało włączone w środowisku produkcyjnym
Po wykryciu atak jest natychmiastowy i destrukcyjny.
Działania zaradcze są pilne
- 🔒 Ogranicz dostęp do MongoDB wyłącznie do sieci prywatnych
- 🔐 Wymuś uwierzytelnianie SCRAM + RBAC
- 🚫 Zablokuj publiczny dostęp do portu 27017
- 🧱 Zastąp niezabezpieczone obrazy Dockera utwardzonymi wersjami
- 👀 Stale monitoruj ekspozycję (np. za pomocą Shodan / narzędzi CSPM)
Dziś może nie istnieć luka RCE możliwa do wykorzystania bez uwierzytelnienia — ale jedna luka zero-day mogłaby natychmiast wystawić setki tysięcy serwerów.
➡️ Wystawione instancje MongoDB są masowo czyszczone i wykorzystywane do wymuszeń — stosowanie sieci prywatnych, uwierzytelniania i stałego monitorowania ekspozycji jest dziś podstawowym wymogiem, a nie dobrą praktyką.
