Gli hacker prendono di mira i database dei progetti crittografici e blockchain utilizzando l'IA

I database dei progetti di criptovalute e blockchain con credenziali deboli e generate dall'IA vengono hackerati attraverso pattern di distribuzione rilevati dalle botnet, secondo una nuova ricerca di Check Point.

Una botnet di malware chiamata GoBruteforcer è in grado di compromettere i server Linux e trasformarli in nodi di cracking delle password automatizzati, ha dichiarato l'azienda di cybersecurity. Il programma di hacking ha interessato l'infrastruttura utilizzata dai progetti crypto, inclusi server di database, servizi di trasferimento file e pannelli di amministrazione web. 

GoBrut può scansionare Internet per servizi scarsamente protetti e tentare di accedere ai servizi utilizzando nomi utente popolari e password deboli. Una volta che un sistema è compromesso, viene aggiunto a una rete distribuita che può essere accessibile da remoto da una rete di hacker.

La botnet GoBruteforcer può hackerare password vagamente pensate

Secondo il rapporto di Check Point ha pubblicato la scorsa mercoledì, la botnet è riuscita a superare le protezioni in servizi come FTP, MySQL, PostgreSQL e phpMyAdmin. Questi programmi sono utilizzati dalle startup blockchain e dagli sviluppatori di app decentralizzate per gestire i dati degli utenti, la logica delle applicazioni e i dashboard interni.

I sistemi hackerati da GoBrute possono accettare comandi da un server di comando e controllo, indicando quale servizio attaccare mentre forniscono credenziali per tentativi di brute-force. I dettagli di accesso rivelati vengono riutilizzati per accedere ad altri sistemi, rubare dati privati, creare account nascosti e ampliare la portata della botnet.

Check Point ha anche menzionato che gli host infetti possono essere riutilizzati per ospitare payload dannosi, distribuire malware a nuove vittime o diventare server di controllo di backup se il sistema principale sta subendo tempi di inattività.

Molti team di sviluppo ora, inclusi quelli di grandi aziende tecnologiche come Microsoft e Amazon, utilizzano frammenti di codice e guide di configurazione generati da modelli linguistici di grandi dimensioni (LLM) o copiati da forum online. 

Check Point ha spiegato che poiché i modelli IA non possono creare nuove password e di solito imitano ciò che sono stati addestrati, rendono i nomi utente e le password predefinite molto prevedibili, senza cambiarle abbastanza velocemente prima che i sistemi siano esposti a Internet. 

Il problema diventa ancora più grave quando vengono utilizzati stack web legacy come XAMPP, che possono esporre i servizi di amministrazione per impostazione predefinita e fornire un facile punto di ingresso per gli hacker.

Le campagne di GoBruteforcer sono iniziate in 2023, ha trovato la ricerca di Unit 42

GoBruteforcer è stato documentato per la prima volta nel marzo 2023 da Unit 42 di Palo Alto Networks, che ha dettagliato la sua capacità di compromettere sistemi simili a Unix con architetture x86, x64 e ARM. Il malware distribuisce un bot Internet Relay Chat e una web shell, che gli attaccanti utilizzano per mantenere il loro accesso remoto.

Nel settembre 2025, i ricercatori di Black Lotus Labs di Lumen Technologies hanno scoperto che una parte delle macchine infette collegate ad un'altra famiglia di malware, SystemBC, erano anche nodi GoBruteforcer. Gli analisti di Check Point hanno confrontato le liste di password utilizzate negli attacchi con un database di circa 10 milioni di credenziali trapelate e hanno trovato una sovrapposizione di circa il 2,44%.

Sulla base di quella sovrapposizione, hanno stimato che decine di migliaia di server di database potrebbero accettare una delle password utilizzate dalla botnet. Il rapporto 2024 Cloud Threat Horizons di Google ha trovato che credenziali deboli o mancanti erano responsabili del 47,2% dei vettori di accesso iniziale negli ambienti cloud violati.

Blockchain e ricognizione IA espongono dati privati, trova la ricerca

Nei casi in cui GoBrute è stato tracciato negli ambienti criptovalutari, gli hacker di rete hanno utilizzato nomi utente a tema crypto e varianti di password che corrispondevano alle convenzioni di denominazione dei progetti blockchain. Altre campagne hanno preso di mira i pannelli phpMyAdmin collegati ai siti WordPress, un servizio per i siti web dei progetti e i dashboard. 

“Alcuni compiti sono chiaramente focalizzati sul settore. Ad esempio, abbiamo osservato un attacco che ha utilizzato nomi utente a tema crypto come cryptouser, appcrypto, crypto_app e crypto. In queste esecuzioni, le password utilizzate combinavano la lista debole standard con indizi specifici per crypto come cryptouser1 o crypto_user1234”, ha detto Check Point, menzionando esempi di password.

Check Point ha identificato un server compromesso utilizzato per ospitare un modulo che scansionava gli indirizzi della blockchain TRON e interrogava i saldi tramite un'API blockchain pubblica per identificare i wallet che detenevano fondi.

“La combinazione di infrastrutture esposte, credenziali deboli e strumenti sempre più automatizzati. Sebbene la botnet sia tecnicamente semplice, i suoi operatori beneficiano del numero di servizi mal configurati online”, ha scritto l'azienda di sicurezza.