Hacker greifen Systeme an, um Krypto-Mining-Aktivitäten durchzuführen

Laut einem Bericht von Forschern des Cloud-Sicherheitsunternehmens Wiz greifen Hacker nun Systeme an, um Krypto-Mining-Aktivitäten durchzuführen. Die Forscher stellten fest, dass die Hacker freigegebene Java Debug Wire Protocol (JDWP)-Schnittstellen als Waffe einsetzen, um Code-Ausführungsfähigkeiten auf kompromittierten Systemen zu erlangen.

Laut dem Bericht setzten die Hacker nach dem Erlangen von Code-Ausführungsfähigkeiten Krypto-Miner auf den Systemen ihrer kompromittierten Hosts ein. „Der Angreifer verwendete eine modifizierte Version von XMRig mit einer fest codierten Konfiguration, die es ihm ermöglichte, verdächtige Befehlszeilenargumente zu vermeiden, die oft von Verteidigern erkannt werden“, sagten die Forscher. Sie fügten hinzu, dass die Payload Mining-Pool-Proxies verwendete, um die Krypto-Brieftasche des Angreifers zu verschleiern, was es Ermittlern erschwerte, sie weiter zu verfolgen.

Hacker nutzen freigegebene JDWP aus, um Mining-Aktivitäten durchzuführen

Die Forscher beobachteten die Aktivität gegen ihre Honeypot-Server, die TeamCity, ein beliebtes Continuous-Integration- und Continuous-Delivery-(CI/CD)-Tool, ausführen. JDWP ist ein Kommunikationsprotokoll, das in Java zum Debuggen verwendet wird. Mit dem Protokoll kann der Debugger verwendet werden, um an verschiedenen Prozessen zu arbeiten, einer Java-Anwendung auf demselben Computer oder einem Remote-Computer.

Da JDWP jedoch über keinen Zugriffskontrollmechanismus verfügt, kann seine Exposition gegenüber dem Internet neue Angriffsvektoren eröffnen, die Hacker als Einstiegspunkt missbrauchen können, um die volle Kontrolle über den laufenden Java-Prozess zu erlangen. Vereinfacht ausgedrückt kann die Fehlkonfiguration verwendet werden, um beliebige Befehle einzufügen und auszuführen, um Persistenz einzurichten und schließlich schädliche Payloads auszuführen.

„Obwohl JDWP in den meisten Java-Anwendungen standardmäßig nicht aktiviert ist, wird es häufig in Entwicklungs- und Debugging-Umgebungen verwendet“, sagten die Forscher. „Viele beliebte Anwendungen starten automatisch einen JDWP-Server, wenn sie im Debug-Modus ausgeführt werden, oft ohne die Risiken für den Entwickler offensichtlich zu machen. Wenn es unsachgemäß gesichert oder freigegeben bleibt, kann dies die Tür zu Remote-Code-Execution-(RCE)-Schwachstellen öffnen.“

Zu den Anwendungen, die einen JDWP-Server im Debug-Modus starten können, gehören TeamCity, Apache Tomcat, Spring Boot, Elasticsearch, Jenkins und andere. Daten von GreyNoise zeigten, dass in den letzten 24 Stunden über 2.600 IP-Adressen auf JDWP-Endpunkte gescannt wurden, von denen 1.500 IP-Adressen bösartig und 1.100 als verdächtig eingestuft sind. Der Bericht erwähnte, dass die meisten dieser IP-Adressen aus Hongkong, Deutschland, den Vereinigten Staaten, Singapur und China stammten.

Die Forscher erläutern, wie die Angriffe durchgeführt werden

Bei den von den Forschern beobachteten Angriffen nutzen die Hacker die Tatsache aus, dass die Java Virtual Machine (JVM) auf Port 5005 auf Debugger-Verbindungen hört, um nach offenen JDWP-Ports im Internet zu scannen. Anschließend wird eine JDWP-Handshake-Anfrage gesendet, um zu bestätigen, ob die Schnittstelle aktiv ist. Sobald bestätigt wird, dass der Dienst freigegeben und interaktiv ist, gehen die Hacker dazu über, einen Befehl auszuführen, um einen Dropper-Shell-Script abzurufen, der eine Reihe von Aktionen ausführen soll.

Diese Reihe von Aktionen umfasst das Töten aller konkurrierenden Miner oder hoch-CPU-Prozesse auf dem System, das Ablegen einer modifizierten Version von XMRig Miner für die entsprechende Systemarchitektur von einem externen Server („awarmcorner[.]world“) in „~/.config/logrotate“, das Etablieren von Persistenz durch das Einrichten von Cron-Jobs, um sicherzustellen, dass die Payload nach jeder Shell-Anmeldung, einem Neustart oder einem geplanten Zeitintervall erneut abgerufen und ausgeführt wird, und das Löschen von sich selbst beim Beenden.

„Da XMRig Open-Source ist, bietet es Angreifern die Bequemlichkeit der einfachen Anpassung, was in diesem Fall das Entfernen aller Befehlszeilen-Parsing-Logik und das Festcodieren der Konfiguration beinhaltete“, sagten die Forscher. „Diese Änderung vereinfacht nicht nur die Bereitstellung, sondern ermöglicht es der Payload auch, den ursprünglichen logrotate-Prozess überzeugender zu imitieren.“

Diese Offenbarung kommt, als NSFOCUS bemerkte, dass ein neuer und sich entwickelnder, auf Go basierender Malware namens Hpingbot, der sowohl Windows- als auch Linux-Systeme angreift, einen Distributed-Denial-of-Service-(DDoS)-Angriff mit hping3 starten kann.