کمپین کریپتوجکینگ با سوءاستفاده از APIهای DevOps با استفاده از ابزارهای آماده GitHub

محققان امنیت سایبری کمپین جدیدی از استخراج غیرقانونی رمزارز را کشف کرده‌اند که سرورهای وب DevOps قابل دسترسی عمومی مانند Docker، Gitea و HashiCorp Consul و Nomad را هدف قرار می‌دهد.

شرکت امنیت ابری Wiz که این فعالیت را با نام JINX-0132 رصد می‌کند، اعلام کرد مهاجمان از طیف گسترده‌ای از پیکربندی‌های نادرست و آسیب‌پذیری‌های شناخته شده برای ارسال بدافزار استخراج رمزارز استفاده می‌کنند.

محققان گیلی تیکوچینسکی، دانیل آمینوف و مراو بار گفتند: “این کمپین اولین نمونه مستند عمومی از سوءاستفاده از پیکربندی‌های نادرست Nomad به عنوان بردار حمله در محیط واقعی است.”

ویژگی متمایز این حملات این است که مهاجمان ابزارهای مورد نیاز را مستقیماً از مخازن GitHub دانلود می‌کنند به جای استفاده از زیرساخت خود. استفاده از ابزارهای آماده تلاشی عمدی برای پنهان کردن منشأ حملات است.

JINX-0132 نمونه‌های Nomad را که صدها کلاینت را مدیریت می‌کنند، به خطر انداخته است. با توجه به منابع CPU و RAM ترکیبی، هزینه ماهانه آنها ده‌ها هزار دلار خواهد بود. این موضوع قدرت محاسباتی مورد استفاده برای استخراج غیرقانونی رمزارز را نشان می‌دهد.

سوءاستفاده از API داکر یک نقطه شروع شناخته شده برای چنین حملاتی است. هفته گذشته، Kaspersky فاش کرد که مهاجمان نمونه‌های API داکر با پیکربندی نادرست را برای پیوستن به یک بات‌نت استخراج رمزارز هدف قرار می‌دهند.

نمونه‌های API داکر در معرض دید، راه را برای مهاجمان باز می‌کنند تا با ایجاد کانتینرهایی که سیستم فایل میزبان را نصب می‌کنند یا با فراخوانی نقاط پایانی استاندارد داکر، کد مخرب را اجرا کنند.

Wiz گفت مهاجمان همچنین از آسیب‌پذیری‌ها (مانند CVE-2020-14144) یا پیکربندی نادرست در Gitea، یک راه‌حل متن‌باز سبک برای میزبانی مخازن Git، برای به دست آوردن موقعیت اولیه در هدف استفاده می‌کنند.

نمونه‌های Gitea که در معرض عموم قرار دارند، در صورتی آسیب‌پذیر به اجرای کد از راه دور هستند که مهاجم به کاربر موجود با مجوز ایجاد git hooks دسترسی داشته باشد، نسخه 1.4.0 را اجرا کنند، یا صفحه نصب قفل نشده باشد.

HashiCorp Consul نیز می‌تواند راه را برای اجرای کد دلخواه هموار کند اگر سیستم به درستی پیکربندی نشده باشد و به هر کاربر با دسترسی از راه دور اجازه ثبت سرویس‌ها و تعریف بررسی‌های سلامت را بدهد.

Wiz گفت: “در کمپین JINX-0132، آنها از این قابلیت برای افزودن بررسی‌های مخرب سوءاستفاده کردند که در عمل نرم‌افزار استخراج را اجرا می‌کنند. JINX-0132 چندین سرویس با نام‌های به ظاهر تصادفی اضافه می‌کند که هدف واقعی آنها دانلود و اجرای XMRig است.”

JINX-0132 همچنین از پیکربندی‌های نادرست در API سرور Nomad در معرض عموم برای ایجاد چندین کار جدید در میزبان‌های به خطر افتاده استفاده می‌کند که مسئول دانلود بدافزار XMRig از GitHub و اجرای آن هستند.

طبق داده‌های Shodan، بیش از 5300 سرور Consul و بیش از 400 سرور Nomad در معرض دید در سراسر جهان وجود دارد. بیشتر این موارد در چین، ایالات متحده، آلمان، سنگاپور، فنلاند، هلند و بریتانیا متمرکز هستند.

این افشاگری در حالی صورت می‌گیرد که Sysdig جزئیات کمپین بدافزاری را که لینوکس و ویندوز را با سوءاستفاده از سیستم Open WebUI با پیکربندی نادرست هدف قرار می‌دهد، فاش کرد.

محققان امنیتی میگل هرناندز و الساندرا ریزو گفتند: “قرار گرفتن در معرض اینترنت به هر کسی اجازه اجرای دستورات در سیستم را می‌داد – اشتباهی خطرناک که مهاجمان از آن آگاه هستند و فعالانه در جستجوی آن هستند.”

پس از کشف سیستم آموزشی در معرض دید، مهاجمان شروع به استفاده از Open WebUI Tools کردند، یک سیستم افزونه برای بهبود قابلیت‌های LLM. Open WebUI اجازه آپلود اسکریپت‌های پایتون را می‌دهد تا LLM‌ها بتوانند از آنها برای گسترش عملکرد خود استفاده کنند.

کد پایتون طراحی شده برای دانلود و اجرای ماینرهای رمزارز مانند T-Rex و XMRig، ایجاد سرویس systemd برای ماندگاری، و استفاده از webhook دیسکورد برای کنترل و فرماندهی است.

بدافزار همچنین از کتابخانه‌هایی مانند processhider و argvhider برای پنهان کردن فرآیند استخراج در سیستم‌های لینوکس استفاده می‌کند.

در سیستم‌های ویندوز به خطر افتاده، حمله مشابه پیش می‌رود اما شامل استقرار Java Development Kit برای اجرای فایل JAR دانلود شده از 185.208.159[.]155 می‌شود.

زنجیره حمله با اجرای دو فایل “INT_D.DAT” و “INT_J.DAT” به اوج می‌رسد که دومی برای سرقت اعتبارنامه‌های مرتبط با دیسکورد و افزونه‌های کیف پول رمزارز نصب شده در گوگل کروم مجهز شده است.

Sysdig گفت بیش از 17000 نمونه Open WebUI وجود دارد که از طریق اینترنت قابل دسترسی هستند، اما مشخص نیست چه تعداد واقعاً دارای پیکربندی نادرست یا مستعد آسیب‌پذیری‌های امنیتی هستند.

محققان گفتند: “پیکربندی‌های نادرست تصادفی که در آن سیستم‌هایی مانند Open WebUI در معرض اینترنت قرار می‌گیرند، همچنان یک مشکل جدی باقی مانده است. مهاجم همچنین سیستم‌های لینوکس و ویندوز را هدف قرار داد که نسخه ویندوز شامل تکنیک‌های پیچیده سرقت اطلاعات و فرار از شناسایی است.”