- 클라우드 보안 기업 Wiz의 연구원들은 해커들이 암호화폐 채굴 활동을 수행하기 위해 시스템을 표적으로 삼고 있다고 밝혔습니다.
- 연구원들은 해커들이 노출된 JDWP 인터페이스를 무기로 활용하여 코드 실행 권한을 획득하고, 침해된 시스템에서 공격 활동을 수행한다고 설명했습니다.
- 연구원들은 해커들이 이 공격을 수행하는 데 사용하는 단계들도 상세히 설명했습니다.
클라우드 보안 기업 Wiz의 연구원들에 따르면, 해커들은 이제 암호화폐 채굴 활동을 수행하기 위해 시스템을 공격하고 있습니다. 연구원들은 해커들이 침해된 시스템에서 코드 실행 능력을 얻기 위해 노출된 Java Debug Wire Protocol(JDWP) 인터페이스를 무기로 사용하고 있다고 밝혔습니다.
보고서에 따르면, 해커들은 코드 실행 능력을 확보한 후 침해된 호스트 시스템에 암호화폐 채굴기를 배포했습니다. 연구원들은 “공격자는 수정된 버전의 XMRig를 하드코딩된 구성으로 사용하여, 종종 방어 시스템에 의해 탐지되는 의심스러운 명령줄 인수를 피했습니다”라고 밝혔습니다. 그들은 페이로드가 채굴 풀 프록시를 사용하여 공격자의 암호화폐 지갑을 숨겼으며, 이로 인해 조사관들이 이를 더 이상 추적하지 못했다고 덧붙였습니다.
해커들은 노출된 JDWP를 무기로 채굴 활동을 수행합니다
연구원들은 TeamCity라는 인기 있는 지속적 통합 및 지속적 제공(CI/CD) 도구를 실행하는 허니팟 서버에서 이러한 활동을 관찰했습니다. JDWP는 Java에서 디버깅을 위해 사용되는 통신 프로토콜입니다. 이 프로토콜을 사용하면 디버거를 사용하여 동일한 컴퓨터의 다른 프로세스, Java 애플리케이션 또는 원격 컴퓨터에서 작업할 수 있습니다.
그러나 JDWP에는 접근 제어 메커니즘이 없기 때문에 인터넷에 노출되면 해커가 진입점으로 악용하여 실행 중인 Java 프로세스에 대한 완전한 제어를 가능하게 하는 새로운 공격 벡터를 열 수 있습니다. 쉽게 말하면, 이 잘못된 구성을 사용하여 임의의 명령을 주입하고 실행하여 지속성을 설정하고 궁극적으로 악성 페이로드를 실행할 수 있습니다.
연구원들은 “대부분의 Java 애플리케이션에서 JDWP는 기본적으로 활성화되어 있지 않지만, 개발 및 디버깅 환경에서 일반적으로 사용됩니다”라고 말했습니다. “많은 인기 애플리케이션은 디버그 모드에서 실행될 때 JDWP 서버를 자동으로 시작하며, 종종 개발자에게 위험이 명확하지 않게 됩니다. 부적절하게 보안이 설정되거나 노출된 상태로 방치되면 원격 코드 실행(RCE) 취약점으로 이어질 수 있습니다.”
디버그 모드에서 JDWP 서버를 시작할 수 있는 애플리케이션 중에는 TeamCity, Apache Tomcat, Spring Boot, Elasticsearch, Jenkins 등이 포함됩니다. GreyNoise의 데이터에 따르면 지난 24시간 동안 JDWP 엔드포인트를 위해 2,600개 이상의 IP 주소가 스캔되었으며, 이 중 1,500개는 악성, 1,100개는 의심스러운 것으로 분류되었습니다. 보고서에 따르면 이러한 IP 주소의 대부분은 홍콩, 독일, 미국, 싱가포르, 중국에서 기원했습니다.
연구원들은 공격이 수행되는 방식을 상세히 설명합니다
연구원들이 관찰한 공격에서 해커들은 자바 가상 머신(JVM)이 포트 5005에서 디버거 연결을 수신한다는 점을 이용하여 인터넷 전체에서 열린 JDWP 포트를 스캔합니다. 그런 다음 인터페이스가 활성화되어 있는지 확인하기 위해 JDWP-Handshake 요청이 전송됩니다. 서비스가 노출되어 상호작용 가능함이 확인되면, 해커들은 페이로드를 가져오는 명령을 실행하기 위해 드롭퍼 셸 스크립트를 실행합니다.
이러한 일련의 조치에는 시스템의 경쟁 채굴기나 CPU 사용량이 높은 프로세스를 모두 종료하고, 외부 서버(“awarmcorner[.]world”)에서 적절한 시스템 아키텍처용 수정된 XMRig 채굴기를 “~/.config/logrotate” 디렉토리에 배치하며, 셸 로그인, 재부팅 또는 예약된 시간 간격마다 페이로드가 다시 가져와지고 실행되도록 크론 작업을 설정하여 지속성을 확보하고, 종료 시 자신을 삭제하는 작업이 포함됩니다.
연구원들은 “오픈소스인 XMRig는 공격자에게 쉬운 커스터마이징이라는 편의성을 제공하며, 이 경우 모든 명령줄 구문 분석 로직을 제거하고 구성을 하드코딩하는 것이 포함되었습니다”라고 말했습니다. “이 수정은 배포를 단순화할 뿐만 아니라 페이로드가 원래의 logrotate 프로세스를 더 설득력 있게 모방할 수 있게 합니다.”
이번 공시는 NSFOCUS가 새로운 Go 기반 말웨어인 Hpingbot이 Windows 및 리눅스 시스템을 대상으로 분산 서비스 거부(DDoS) 공격을 hping3를 사용하여 수행할 수 있다고 지적한 시점과 맞물립니다.
암호화폐 뉴스를 단순히 읽는 것을 넘어, 이해하세요. 뉴스레터에 구독하세요. 무료입니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com 본 페이지에 제공된 정보를 바탕으로 이루어진 투자에 대해 어떠한 책임도 지지 않습니다. 투자 결정을 내리기 전에 반드시 독립적인 조사나 자격을 갖춘 전문가의 상담을 강력히 권장합니다.
오와투운세 아데바요
아데바요(Adebayo)는 암호화폐 분야에서 4년간의 경력을 가진 작가입니다. 그는 라고스 대학교에서 도시 및 지역 계획을 전공하고 졸업했으며, 토큰헬(Tokenhell)과 크립토티커(CryptoTicker)에서 암호화폐 및 핀테크 뉴스를 작성했습니다. 현재 그는 크립토폴리탄(Cryptopolitan)의 뉴스 기여자입니다.
