O que é a vulnerabilidade CVE‑2021‑41773?

A CVE‑2021‑41773 é uma vulnerabilidade de path traversal que possibilita a execução remota de código em servidores afetados, permitindo que invasores instalem o minerador de criptomoedas Linuxsys.

Pesquisadores revelaram que essa falha é explorada em servidores Apache HTTP Server versão 2.4.49, destacando o perigo contínuo de falhas antigas sem correção.

Como funciona

Os invasores utilizam sites legítimos já comprometidos para distribuir um shell script, que é baixado através de comandos como curl ou wget. O script, hospedado em “repositorylinux.org”, baixa o minerador Linuxsys de cinco sites confiáveis, reduzindo as chances de bloqueio por mecanismos de segurança.

Um script “cron.sh” é configurado para garantir que o minerador seja iniciado após reinicializações, aumentando a persistência da ameaça.

Sinais de alerta / Como identificar

Indícios de que um servidor pode ter sido comprometido incluem:

• Alterações não autorizadas em scripts e crontabs.
• Atividade de rede suspeita, especialmente relacionadas a downloads automáticos.
• Presença de arquivos maliciosos ou desconhecidos no sistema.

O que fazer agora / Como se proteger

Para proteger seus servidores contra a exploração dessa vulnerabilidade, considere as seguintes ações:

1. Atualize o Apache HTTP Server: versões anteriores à 2.4.50 são vulneráveis — atualize imediatamente.
2. Implemente monitoramento de integridade: verifique mudanças em scripts, crontabs e arquivos de sistema.
3. Restrinja acesso à internet: bloqueie downloads automáticos feitos por curl, wget, entre outros, a partir do servidor.
4. Utilize ferramentas de defesa: como EDR e IPS para detectar atividade suspeita relacionada a mineração e persistência maliciosa.

Prevenção / Boas práticas

A reinvenção da CVE‑2021‑41773 para a instalação do minerador Linuxsys mostra que hackers continuam explorando vulnerabilidades, mesmo que antigas. É essencial:

• Manter servidores atualizados.
• Migrar para versões seguras do Apache.
• Fortalecer o monitoramento ativo da infraestrutura.

Perguntas frequentes

O que é a CVE‑2021‑41773?

A CVE‑2021‑41773 é uma vulnerabilidade que permite a execução remota de código em servidores Apache HTTP Server, facilitando a instalação de mineradores de criptomoedas.

Como posso identificar se meu servidor foi comprometido?

Procure por alterações não autorizadas em scripts, atividade de rede suspeita e a presença de arquivos maliciosos.

Qual a melhor forma de me proteger contra essa vulnerabilidade?

Mantenha seu Apache HTTP Server atualizado, implemente monitoramento de integridade e utilize ferramentas de defesa como EDR e IPS.