Хакеры используют ИИ для атак на базы данных крипто- и блокчейн-проектов
- Хакеры используют ботнет GoBruteforcer для взлома баз данных крипто- и блокчейн-проектов, эксплуатируя слабые учётные данные и уязвимые сервисы.
- Исследователи безопасности связывают всплеск атак с серверными конфигурациями, созданными с помощью ИИ, устаревшими веб-стеками и массовым повторным использованием стандартных имён пользователей и паролей.
- Кампании включают целевые атаки на крипто-проекты и разведку в блокчейне, а также более широкое сканирование неправильно настроенной инфраструктуры ИИ и облачных систем.
Базы данных криптографических и блокчейн-проектов со слабыми учетными данными и сгенерированные ИИ взламываются через паттерны развертывания, обнаруженные ботнетами, согласно новым исследованиям Check Point.
Вредоносный ботнет под названием GoBruteforcer способен компрометировать серверы Linux и превращать их в автоматизированные узлы для взлома паролей, сказала компания по кибербезопасности. Программа взлома затронула инфраструктуру, используемую криптографическими проектами, включая серверы баз данных, службы передачи файлов и панели веб-администрирования.
GoBrut может сканировать интернет в поисках плохо защищенных служб и пытаться войти в службы, используя популярные имена пользователей и слабые пароли. После компрометации системы она добавляется в распределенную сеть, к которой можно получить удаленный доступ через сеть хакеров.
Ботнет GoBruteforcer может взламывать плохо продуманные пароли
Согласно отчету Check Point опубликованном в прошлую среду, ботнет может обходить защиты в таких службах, как FTP, MySQL, PostgreSQL и phpMyAdmin. Эти программы используются блокчейн-стартапами и разработчиками децентрализованных приложений для управления пользовательскими данными, логикой приложения и внутренними панелями управления.
Системы, взломанные GoBrute, могут принимать команды от сервера управления и контроля, диктуя, какую службу атаковать, предоставляя учетные данные для попыток брутфорса. Раскрытые учетные данные повторно используются для доступа к другим системам, кражи частных данных, создания скрытых учетных записей и расширения охвата ботнета.
Check Point также упомянул, что зараженные хосты могут быть перепрофилированы для размещения вредоносных загрузок, распространения вредоносного ПО на новых жертв или стать резервными серверами управления, если основная система испытывает простои.
Многие команды разработки сейчас, включая те, что из крупных технологических компаний, таких как Microsoft и Amazon, используют фрагменты кода и руководства по настройке, сгенерированные большими языковыми моделями (LLM) или скопированные из онлайн-форумов.
Check Point объяснил, что поскольку модели ИИ не могут создавать новые пароли и обычно имитируют то, чему их обучили, они делают имена пользователей и пароли по умолчанию очень предсказуемыми, не меняя их достаточно быстро, прежде чем системы будут подвергнуты воздействию интернета.
Проблема становится еще более серьезной, когда используются устаревшие веб-стеки, такие как XAMPP, которые могут по умолчанию раскрывать административные службы и предоставлять легкую точку входа для хакеров.
Кампании GoBruteforcer начались в 2023, исследование Unit 42 обнаружило
GoBruteforcer был впервые задокументирован в марте 2023 года подразделением Unit 42 компании Palo Alto Networks, которое подробно описало его способность компрометировать системы, подобные Unix, архитектуры x86, x64 и ARM. Вредоносное ПО развертывает бот Internet Relay Chat и веб-оболочку, которые атакующие используют для сохранения удаленного доступа.
В сентябре 2025 года исследователи из Black Lotus Labs компании Lumen Technologies обнаружили, что часть зараженных машин, связанных с другим семейством вредоносного ПО SystemBC, также были узлами GoBruteforcer. Аналитики Check Point сравнили списки паролей, использованные в атаках, с базой данных примерно из 10 миллионов утечек учетных данных и обнаружили пересечение около 2,44%.
Исходя из этого перекрытия, они оценили, что десятки тысяч серверов баз данных могут принять один из паролей, используемых ботнетом. В отчете Google Cloud Threat Horizons 2024 года было обнаружено, что слабые или отсутствующие учетные данные стали причиной 47,2% векторов первоначального доступа в скомпрометированных облачных средах.
Исследование: разведка с использованием блокчейна и ИИ раскрывает конфиденциальные данные
В случаях, когда GoBrute был отслежен в криптовалютных средах, сетевые хакеры использовали имена пользователей и варианты паролей с крипто-тематикой, соответствующие соглашениям об именовании проектов в блокчейне. Другие кампании были направлены на панели phpMyAdmin, связанные с сайтами WordPress, — сервисом для сайтов проектов и панелей управления.
«Некоторые задачи явно ориентированы на конкретные секторы. Например, мы наблюдали атаку, в которой использовались имена пользователей с крипто-тематикой, такие как cryptouser, appcrypto, crypto_app и crypto. В этих запусках пароли сочетали стандартный слабый список с крипто-специфичными предположениями, такими как cryptouser1 или crypto_user1234», — говорится в отчете Check Point, приводящего примеры паролей.
Check Point выявил скомпрометированный сервер, используемый для размещения модуля, который сканировал адреса блокчейна TRON и запрашивал балансы через публичный API блокчейна для выявления кошельков с средствами.
«Сочетание раскрытой инфраструктуры, слабых учетных данных и все более автоматизированных инструментов. Хотя сам ботнет технически прост, его операторы получают выгоду от количества неправильно настроенных сервисов в сети», — написала компания по кибербезопасности.
Самые умные крипто-энтузиасты уже читают нашу рассылку. Хотите присоединиться? Присоединяйтесь.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Флоренс Мучай
Флоренс уже 6 лет освещает новости в сферах криптовалют, игр, технологий и искусственного интеллекта. Её образование по специальности «Компьютерные науки» в Университете науки и технологий Меру, а также обучение управлению в чрезвычайных ситуациях и международной дипломатии в MMUST обеспечили ей отличные языковые навыки, наблюдательность и технические компетенции. Флоренс работала в группе VAP Group и была редактором в нескольких крипто-медиа.
