Gli hacker attaccano i sistemi per svolgere attività di mining cripto

Gli hacker stanno ora attaccando i sistemi per svolgere attività di mining cripto, secondo un rapporto dei ricercatori della società di sicurezza cloud Wiz. I ricercatori hanno dichiarato che gli hacker stanno trasformando in armi le interfacce Java Debug Wire Protocol (JDWP) esposte per ottenere capacità di esecuzione del codice sui sistemi compromessi.

Secondo il rapporto, dopo aver ottenuto capacità di esecuzione del codice, gli hacker hanno distribuito miner di criptovalute sui sistemi degli host compromessi. "L'attaccante ha utilizzato una versione modificata di XMRig con una configurazione hard-coded, permettendo loro di evitare argomenti della riga di comando sospetti che spesso vengono segnalati dai difensori", hanno detto i ricercatori. Hanno aggiunto che il payload utilizzava proxy di pool di mining per nascondere il portafoglio cripto dell'attaccante, impedendo agli investigatori di tracciarlo ulteriormente.

Gli hacker trasformano in armi JDWP esposto per svolgere attività di mining

I ricercatori hanno osservato l'attività contro i loro server honeypot che eseguivano TeamCity, un popolare strumento di integrazione continua e consegna continua (CI/CD). JDWP è un protocollo di comunicazione utilizzato in Java per il debug. Con il protocollo, il debugger può essere utilizzato per lavorare su diversi processi, un'applicazione Java sullo stesso computer o un computer remoto.

Tuttavia, poiché JDWP manca di un meccanismo di controllo degli accessi, esporlo a Internet può aprire nuovi vettori di attacco che gli hacker possono abusare come punto di ingresso per abilitare il controllo completo sul processo Java in esecuzione. Per semplificare, la configurazione errata può essere utilizzata per iniettare ed eseguire comandi arbitrari al fine di stabilire la persistenza e infine eseguire payload dannosi.

"Sebbene JDWP non sia abilitato per impostazione predefinita nella maggior parte delle applicazioni Java, è comunemente utilizzato in ambienti di sviluppo e debug", hanno detto i ricercatori. "Molte applicazioni popolari avviano automaticamente un server JDWP quando vengono eseguite in modalità debug, spesso senza rendere i rischi evidenti allo sviluppatore. Se non protetto in modo improprio o lasciato esposto, questo può aprire la porta a vulnerabilità di esecuzione remota del codice (RCE)."

Alcune delle applicazioni che potrebbero avviare un server JDWP quando sono in modalità debug includono TeamCity, Apache Tomcat, Spring Boot, Elasticsearch, Jenkins e altri. I dati di GreyNoise hanno mostrato che oltre 2.600 indirizzi IP sono stati scansionati per endpoint JDWP nelle ultime 24 ore, di cui 1.500 indirizzi IP sono malevoli e 1.100 sono classificati come sospetti. Il rapporto ha menzionato che la maggior parte di questi indirizzi IP proveniva da Hong Kong, Germania, Stati Uniti, Singapore e Cina.

I ricercatori dettagliano come vengono eseguiti gli attacchi

Negli attacchi osservati dai ricercatori, gli hacker sfruttano il fatto che la Java Virtual Machine (JVM) ascolta le connessioni del debugger sulla porta 5005 per avviare la scansione delle porte JDWP aperte su Internet. Dopo di che, viene inviata una richiesta JDWP-Handshake per confermare se l'interfaccia è attiva. Una volta confermato che il servizio è esposto e interattivo, gli hacker passano all'esecuzione di un comando per recuperare, eseguendo uno script shell dropper che dovrebbe eseguire una serie di azioni.

Questa serie di azioni include l'uccisione di tutti i miner concorrenti o di qualsiasi processo ad alto utilizzo di CPU sul sistema, la distribuzione di una versione modificata di XMRig miner per l'architettura di sistema appropriata da un server esterno ("awarmcorner[.]world") in "~/.config/logrotate", l'istituzione della persistenza impostando lavori cron per garantire che il payload venga recuperato ed eseguito nuovamente dopo ogni accesso shell, riavvio o intervallo di tempo programmato, e l'eliminazione di se stesso all'uscita.

"Essendo open-source, XMRig offre agli attaccanti la comodità di una facile personalizzazione, che in questo caso ha comportato la rimozione di tutta la logica di parsing della riga di comando e l'hardcoding della configurazione", hanno detto i ricercatori. "Questa modifica non solo semplita il deployment, ma permette anche al payload di imitare più convincentemente il processo logrotate originale."

Questa divulgazione arriva mentre NSFOCUS ha notato che un nuovo malware in evoluzione basato su Go chiamato Hpingbot, che ha preso di mira sia i sistemi Windows che Linux, può lanciare un attacco di negazione del servizio distribuito (DDoS) utilizzando hping3.