Les pirates attaquent les systèmes pour mener des activités de minage de crypto

Les pirates attaquent désormais les systèmes pour mener des activités de minage de crypto, selon un rapport des chercheurs de l'entreprise de sécurité cloud Wiz. Les chercheurs ont déclaré que les pirates armementisent les interfaces exposées du Java Debug Wire Protocol (JDWP) pour obtenir des capacités d'exécution de code sur les systèmes compromis.

Selon le rapport, après avoir acquis des capacités d'exécution de code, les pirates ont déployé des mineurs de crypto sur les systèmes de leurs hôtes compromis. « L'attaquant a utilisé une version modifiée de XMRig avec une configuration codée en dur, lui permettant d'éviter les arguments de ligne de commande suspects qui sont souvent signalés par les défenseurs », ont déclaré les chercheurs. Ils ont ajouté que la charge utile utilisait des proxys de pool de minage pour masquer le portefeuille crypto de l'attaquant, empêchant les enquêteurs de le tracer davantage.

Les pirates armementisent le JDWP exposé pour mener des activités de minage

Les chercheurs ont observé l'activité contre leurs serveurs canari exécutant TeamCity, un outil d'intégration continue et de livraison continue (CI/CD) populaire. JDWP est un protocole de communication utilisé dans Java pour le débogage. Avec ce protocole, le débogueur peut être utilisé pour travailler sur différents processus, une application Java sur le même ordinateur ou un ordinateur distant.

Cependant, du fait que JDWP manque d'un mécanisme de contrôle d'accès, son exposition sur Internet peut ouvrir de nouvelles vecteurs d'attaque que les pirates peuvent abuser comme point d'entrée pour obtenir un contrôle total sur le processus Java en cours. Pour simplifier, la mauvaise configuration peut être utilisée pour injecter et exécuter des commandes arbitraires afin de mettre en place une persistance et finalement exécuter des charges utiles malveillantes.

« Bien que JDWP ne soit pas activé par défaut dans la plupart des applications Java, il est couramment utilisé dans les environnements de développement et de débogage », ont déclaré les chercheurs. « De nombreuses applications populaires démarrent automatiquement un serveur JDWP lorsqu'elles sont exécutées en mode débogage, souvent sans rendre les risques évidents pour le développeur. Si elle est mal sécurisée ou laissée exposée, cela peut ouvrir la porte à des vulnérabilités d'exécution de code à distance (RCE). »

Certaines des applications qui peuvent lancer un serveur JDWP en mode débogage incluent TeamCity, Apache Tomcat, Spring Boot, Elasticsearch, Jenkins et d'autres. Les données de GreyNoise ont montré que plus de 2 600 adresses IP ont été analysées pour les points de terminaison JDWP au cours des dernières 24 heures, dont 1 500 adresses IP sont malveillantes et 1 100 sont classées comme suspectes. Le rapport a mentionné que la plupart de ces adresses IP provenaient de Hong Kong, d'Allemagne, des États-Unis, de Singapour et de Chine.

Les chercheurs détaillent comment les attaques sont menées

Dans les attaques observées par les chercheurs, les pirates profitent du fait que la Machine Virtuelle Java (JVM) écoute les connexions de débogueur sur le port 5005 pour initier l'analyse des ports JDWP ouverts sur Internet. Ensuite, une requête JDWP-Handshake est envoyée pour confirmer si l'interface est active. Une fois qu'elle confirme que le service est exposé et interactif, les pirates passent à l'exécution d'une commande pour récupérer, exécutant un script shell droppeur qui est censé mener une série d'actions.

Cette série d'actions comprend la suppression de tous les mineurs concurrents ou de tout processus à forte utilisation du CPU sur le système, le dépôt d'une version modifiée de XMRig miner pour l'architecture système appropriée depuis un serveur externe (« awarmcorner[.]world ») dans « ~/.config/logrotate », l'établissement d'une persistance en définissant des tâches cron pour garantir que la charge utile est récupérée et réexécutée après chaque connexion shell, redémarrage ou intervalle de temps planifié, et sa suppression à la sortie.

« Étant open source, XMRig offre aux attaquants la commodité d'une personnalisation facile, ce qui dans ce cas impliquait de supprimer toute la logique d'analyse des arguments de ligne de commande et de coder en dur la configuration », ont déclaré les chercheurs. « Cette modification simplifie non seulement le déploiement, mais permet également à la charge utile de mieux imiter le processus logrotate original. »

Cette divulgation survient alors que NSFOCUS a noté qu'un nouveau malware évolutif basé sur Go nommé Hpingbot, qui cible à la fois les systèmes Windows et Linux, peut lancer une attaque par déni de service distribué (DDoS) en utilisant hping3.