Hackers atacam sistemas para realizar atividades de mineração de criptomoedas

Os hackers estão agora atacando sistemas para realizar atividades de mineração de criptomoedas, de acordo com um relatório de pesquisadores da empresa de segurança em nuvem Wiz. Os pesquisadores afirmaram que os hackers estão transformando em arma as interfaces expostas do Java Debug Wire Protocol (JDWP) para obter capacidades de execução de código em sistemas comprometidos.

De acordo com o relatório, após ganhar capacidades de execução de código, os hackers implantaram mineradores de criptomoedas nos sistemas de seus hosts comprometidos. “O atacante usou uma versão modificada do XMRig com uma configuração codificada, permitindo que evitassem argumentos de linha de comando suspeitos que frequentemente são sinalizados pelos defensores”, disseram os pesquisadores. Eles acrescentaram que a carga útil usou proxies de pool de mineração para ocultar a carteira de criptomoedas do atacante, impedindo que os investigadores a rastreassem ainda mais.

Hackers transformam em arma o JDWP exposto para realizar atividades de mineração

Os pesquisadores observaram a atividade contra seus servidores honeypot executando o TeamCity, uma ferramenta popular de integração contínua e entrega contínua (CI/CD). O JDWP é um protocolo de comunicação usado no Java para depuração. Com o protocolo, o depurador pode ser usado para trabalhar em diferentes processos, um aplicativo Java no mesmo computador ou em um computador remoto.

No entanto, devido ao fato de o JDWP carecer de um mecanismo de controle de acesso, expô-lo à internet pode abrir novos vetores de ataque que os hackers podem abusar como ponto de entrada para habilitar o controle total sobre o processo Java em execução. Para simplificar, a configuração incorreta pode ser usada para injetar e executar comandos arbitrários a fim de estabelecer persistência e, finalmente, executar cargas úteis maliciosas.

“Embora o JDWP não esteja habilitado por padrão na maioria dos aplicativos Java, ele é comumente usado em ambientes de desenvolvimento e depuração”, disseram os pesquisadores. “Muitos aplicativos populares iniciam automaticamente um servidor JDWP quando executados no modo de depuração, muitas vezes sem tornar os riscos óbvios para o desenvolvedor. Se não for protegido adequadamente ou deixado exposto, isso pode abrir a porta para vulnerabilidades de execução remota de código (RCE).”

Alguns dos aplicativos que podem iniciar um servidor JDWP quando no modo de depuração incluem TeamCity, Apache Tomcat, Spring Boot, Elasticsearch, Jenkins e outros. Dados da GreyNoise mostraram que mais de 2.600 endereços IP foram escaneados em busca de endpoints JDWP nas últimas 24 horas, dos quais 1.500 endereços IP são maliciosos e 1.100 são classificados como suspeitos. O relatório mencionou que a maioria desses endereços IP originou-se de Hong Kong, Alemanha, Estados Unidos, Cingapura e China.

Os pesquisadores detalham como os ataques estão sendo realizados

Nos ataques observados pelos pesquisadores, os hackers aproveitam o fato de que a Máquina Virtual Java (JVM) escuta conexões de depuração na porta 5005 para iniciar a varredura de portas JDWP abertas na internet. Depois disso, uma solicitação JDWP-Handshake é enviada para confirmar se a interface está ativa. Assim que confirma que o serviço está exposto e interativo, os hackers passam a executar um comando para buscar, executando um script shell dropper que deve realizar uma série de ações.

Essa série de ações inclui matar todos os mineradores concorrentes ou quaisquer processos de alta CPU no sistema, baixar uma versão modificada do minerador XMR para a arquitetura de sistema apropriada de um servidor externo (“awarmcorner[.]world”) em “~/.config/logrotate”), estabelecer persistência configurando trabalhos cron para garantir que a carga útil seja buscada e executada novamente após cada login de shell, reinicialização ou intervalo de tempo agendado, e excluir a si mesma ao sair.

“Por ser de código aberto, o XMRig oferece aos atacantes a conveniência de fácil personalização, o que neste caso envolveu remover toda a lógica de análise de linha de comando e codificar a configuração”, disseram os pesquisadores. “Essa alteração não apenas simplifica a implantação, mas também permite que a carga útil imite o processo logrotate original de forma mais convincente.”

Esta divulgação ocorre enquanto a NSFOCUS observou que um novo malware em evolução baseado em Go, chamado Hpingbot, que tem sido direcionado tanto a sistemas Windows quanto Linux, pode lançar um ataque de negação de serviço distribuído (DDoS) usando hping3.