يهاجم القراصنة الأنظمة لتنفيذ أنشطة تعدين العملات المشفرة

وفقاً لتقرير من باحثين في شركة أمان السحابة Wiz، يهاجم القراصنة الأنظمة الآن لتنفيذ أنشطة تعدين العملات المشفرة. وأشار الباحثون إلى أن القراصنة يقومون بتسليح واجهات بروتوكول تصحيح أخطاء الأسلاك في Java (JDWP) المكشوفة للحصول على قدرات تنفيذ الأكواد على الأنظمة المخترقة.

وفقاً لـ التقرير، بعد اكتساب قدرات تنفيذ الكود، نشر المخربون مناجم للعملات المشفرة على أنظمة مضيفيهم المخترقين. "استخدم المهاجم نسخة معدلة من XMRig مع تكوين ثابت، مما مكنهم من تجنب حجج سطر الأوامر المشبوهة التي غالباً ما يتم اكتشافها من قبل المدافعين"، قال الباحثون. وأضافوا أن الحمولة استخدمت proxies لخزائن التعدين لإخفاء محفظة العملات المشفرة للمهاجم، مما منع المحققين من تتبعها بشكل أكبر.

القراصنة يستغلون واجهات JDWP المكشوفة لتنفيذ أنشطة التعدين

لاحظ الباحثون هذا النشاط ضد خوادمهم الفخية التي تعمل بنظام TeamCity، وهو أداة شائعة للتكامل المستمر والتسليم المستمر (CI/CD). يُعد JDWP بروتوكول اتصال يُستخدم في Java لأغراض التصحيح. ومن خلال هذا البروتوكول، يمكن استخدام أداة التصحيح للعمل على عمليات مختلفة، أو تطبيق Java على نفس الكمبيوتر، أو كمبيوتر بعيد.

ومع ذلك، ونظراً لأن JDWP يفتقر إلى آلية للتحكم في الوصول، فإن تعريضه للإنترنت يمكن أن يفتح ثغرات هجومية جديدة يمكن للقراصنة استغلالها كنقطة دخول لتمكين التحكم الكامل في عملية Java قيد التشغيل. لتبسيط الأمر، يمكن استخدام هذا الإعداد الخاطئ لإدخال وتنفيذ أوامر عشوائية من أجل تثبيت وجود دائم في النظام وتشغيل حمولات ضارة في النهاية.

قال الباحثون: "بينما لا يتم تمكين JDWP بشكل افتراضي في معظم تطبيقات Java، إلا أنه يُستخدم بشكل شائع في بيئات التطوير والتصحيح. تبدأ العديد من التطبيقات الشهيرة خادم JDWP تلقائياً عند التشغيل في وضع التصحيح، غالباً دون أن تجعل المخاطر واضحة للمطور. إذا لم يتم تأمينه بشكل صحيح أو تركه مكشوفاً، فقد يفتح الباب أمام ثغرات تنفيذ الأكواد عن بُعد (RCE)."

تشمل بعض التطبيقات التي قد تشغل خادم JDWP عند وجودها في وضع التصحيح TeamCity وApache Tomcat وSpring Boot وElasticsearch وJenkins وغيرها. أظهرت بيانات من GreyNoise أنه تم فحص أكثر من 2600 عنوان IP بحثاً عن نقاط نهاية JDWP في آخر 24 ساعة، منها 1500 عنوان IP خبيث و1100 مصنفة على أنها مشبوهة. ذكر التقرير أن معظم هذه العناوين IP جاءت من هونغ كونغ وألمانيا والولايات المتحدة وسنغافورة والصين.

يشرح الباحثون كيفية تنفيذ الهجمات

في الهجمات التي رصدها الباحثون، يستغل القراصنة حقيقة أن آلة Java الافتراضية (JVM) تستمع لاتصالات المصحح على المنفذ 5005 لبدء مسح المنافذ المفتوحة لـ JDWP عبر الإنترنت. بعد ذلك، يتم إرسال طلب مصافحة JDWP للتأكد من أن الواجهة نشطة. بمجرد تأكيد أن الخدمة مكشوفة وتفاعلية، ينتقل القراصنة لتنفيذ أمر لجلب وتنفيذ نص برمجي قطّار (dropper) من المفترض أن يقوم بسلسلة من الإجراءات.

تشمل هذه السلسلة من الإجراءات قتل جميع مناجم العملات المنافسة أو أي عمليات عالية استهلاك للمعالج على النظام، وإسقاط نسخة معدلة من XMRig للهيكل المعماري المناسب للنظام من خادم خارجي ("awarmcorner[.]world") إلى "~/.config/logrotate")، وإنشاء استمرارية عن طريق تعيين مهام cron لضمان إعادة جلب الحمولة وإعادة تنفيذها بعد كل تسجيل دخول لـ shell، أو إعادة تشغيل، أو فاصل زمني مجدول، وحذف نفسه عند الخروج.

قال الباحثون: "نظراً لأن XMRig مفتوح المصدر، فإنه يوفر للقراصنة راحة التخصيص السهل، والذي تضمن في هذه الحالة إزالة جميع منطق تحليل سطر الأوامر وتثبيت الإعدادات برمجياً. هذا التعديل لا يبسط النشر فحسب، بل يسمح للحمولة بمحاكاة عملية logrotate الأصلية بشكل أكثر إقناعاً."

يأتي هذا الإفصاح في وقت أشارت فيه NSFOCUS إلى أن برمجية خبيثة جديدة ومتطورة مبنية بلغة Go تُدعى Hpingbot، تستهدف أنظمة Windows وLinux على حد سواء، يمكنها شن هجوم حجب الخدمة الموزع (DDoS) باستخدام hping3.