Cryptojacking, Freejacking Compromise Cloud Infrastructure

Το Cryptojacking επιστρέφει, με τους επιτιθέμενους να χρησιμοποιούν μια ποικιλία σχημάτων για να εκμεταλλευτούν την ελεύθερη επεξεργαστική ισχύ από την υποδομή cloud για να επικεντρωθούν στην εξόρυξη κρυπτονομισμάτων όπως το Bitcoin και το Monero.

Οι Cryptominers χρησιμοποιούν τη διαθεσιμότητα δωρεάν δοκιμών σε μερικές από τις μεγαλύτερες υπηρεσίες συνεχούς ενσωμάτωσης και ανάπτυξης (CI/CD) για να αναπτύξουν κώδικα και να δημιουργήσουν κατανεμημένες πλατφόρμες εξόρυξης, σύμφωνα με τη Sysdig, έναν πάροχο ασφάλειας για εγγενείς υπηρεσίες cloud. Οι επιτιθέμενοι στοχεύουν επίσης παρουσίες Kubernetes και Docker με εσφαλμένη ρύθμιση παραμέτρων για να αποκτήσουν πρόσβαση στα συστήματα υποδοχής και να τρέξουν λογισμικό cryptomining, προειδοποίησε αυτή την εβδομάδα η εταιρεία υπηρεσιών κυβερνοασφάλειας CrowdStrike.

Και οι δύο τακτικές στην πραγματικότητα απλώς προσπαθούν να εξαργυρώσουν την άνοδο των ψηφιακών νομισμάτων σε βάρος κάποιου άλλου, λέει ο Manoj Ahuje, ανώτερος ερευνητής απειλών για την ασφάλεια cloud στο CrowdStrike.

«Εφόσον είναι διαθέσιμος ο φόρτος εργασίας που διακυβεύεται, στην ουσία είναι δωρεάν υπολογισμός — για έναν cryptominer, αυτό είναι από μόνο του κέρδος καθώς το κόστος εισροής του γίνεται μηδενικό», λέει. «Και… εάν ένας εισβολέας μπορεί να διακυβεύσει αποτελεσματικά μεγάλο αριθμό τέτοιων φόρτων εργασίας μέσω του crowdsourcing του υπολογισμού για εξόρυξη, βοηθά στην επίτευξη του στόχου πιο γρήγορα και στην εξόρυξη περισσότερο στον ίδιο χρόνο».

Οι προσπάθειες κρυπτοεξόρυξης αυξάνονται με την πάροδο του χρόνου, παρόλο που η αξία των κρυπτονομισμάτων έχει υποχωρήσει τους τελευταίους 11 μήνες. Το Bitcoin, για παράδειγμα, είναι μειωμένη κατά 70% από την κορύφωσή της τον Νοέμβριο του 2021, επηρεάζοντας πολλές υπηρεσίες που βασίζονται σε κρυπτονομίσματα. Ωστόσο, οι τελευταίες επιθέσεις δείχνουν ότι οι εγκληματίες του κυβερνοχώρου προσπαθούν να μαζέψουν τα πιο χαμηλά φρούτα που κρέμονται.

Η συμβιβαστική υποδομή cloud των παρόχων μπορεί να μην φαίνεται να βλάπτει τις επιχειρήσεις, αλλά το κόστος τέτοιων hacks θα μειωθεί. Ο Sysdig βρήκε αυτόν τον εισβολέα συνήθως κερδίστε μόνο 1 $ για κάθε 53 $ κόστους βαρύνουν τους κατόχους της υποδομής cloud. Η εξόρυξη ενός μόνο νομίσματος Monero χρησιμοποιώντας δωρεάν δοκιμές στο GitHub, για παράδειγμα, θα κόστιζε σε αυτήν την εταιρεία περισσότερα από 100,000 δολάρια σε χαμένα έσοδα, υπολόγισε η Sysdig.

Ωστόσο, οι εταιρείες μπορεί να μην δουν αρχικά τη ζημιά στην κρυπτονομία, λέει η Crystal Morin, ερευνήτρια απειλών στο Sysdig.

«Δεν βλάπτουν κανέναν άμεσα, όπως να παίρνουν την υποδομή κάποιου ή να κλέβουν δεδομένα από επιχειρήσεις, αλλά εάν επρόκειτο να το κλιμακώσουν ή άλλες ομάδες επωφελήθηκαν από αυτόν τον τύπο λειτουργίας - «freejacking» - θα μπορούσε να αρχίσει να βλάπτει οικονομικά αυτούς τους παρόχους και αντίκτυπο — στο πίσω μέρος — στους χρήστες, με τις δωρεάν δοκιμές να καταργούνται ή να αναγκάζουν τους νόμιμους χρήστες να πληρώνουν περισσότερα», λέει.

Cryptominers Παντού

Η τελευταία επίθεση, την οποία ο Sysdig ονόμασε PURPLEURCHIN, φαίνεται να είναι μια προσπάθεια να συνδυάσει ένα δίκτυο κρυπτοεξόρυξης από όσο το δυνατόν περισσότερες υπηρεσίες που προσφέρουν δωρεάν δοκιμές. Οι ερευνητές του Sysdig ανακάλυψαν ότι το πιο πρόσφατο δίκτυο cryptomining χρησιμοποιούσε 30 λογαριασμούς GitHub, 2,000 λογαριασμούς Heroku και 900 λογαριασμούς Buddy. Η ομάδα κυβερνοεγκληματικών κατεβάζει ένα κοντέινερ Docker, εκτελεί ένα πρόγραμμα JavaScript και φορτώνει σε ένα συγκεκριμένο κοντέινερ.

Η επιτυχία της επίθεσης καθοδηγείται πραγματικά από τις προσπάθειες της κυβερνοεγκληματικής ομάδας να αυτοματοποιήσει όσο το δυνατόν περισσότερο, λέει ο Michael Clark, διευθυντής έρευνας απειλών για το Sysdig.

«Έχουν πραγματικά αυτοματοποιήσει τη δραστηριότητα εισόδου σε νέους λογαριασμούς», λέει. «Χρησιμοποιούν παρακάμψεις CAPTCHA, οπτικές και ηχητικές εκδόσεις. Δημιουργούν νέους τομείς και φιλοξενούν διακομιστές email στην υποδομή που έχουν δημιουργήσει. Είναι όλα αρθρωτά, έτσι περιστρέφουν ένα σωρό κοντέινερ σε έναν εικονικό κεντρικό υπολογιστή."

Το GitHub, για παράδειγμα, προσφέρει 2,000 δωρεάν λεπτά GitHub Action ανά μήνα στη δωρεάν βαθμίδα του, τα οποία θα μπορούσαν να αντιστοιχούν σε έως και 33 ώρες χρόνου εκτέλεσης για κάθε λογαριασμό, δήλωσε η Sysdig στην ανάλυσή της.

Kiss-a-Dog

Η καμπάνια cryptojacking Ανακαλύφθηκε το CrowdStrike στοχεύει σε ευάλωτες υποδομές Docker και Kubernetes. Ονομάζεται καμπάνια Kiss-a-Dog, οι cryptominers χρησιμοποιούν πολλαπλούς διακομιστές εντολών και ελέγχου (C2) για ανθεκτικότητα, χρησιμοποιώντας rootkits για να αποφύγουν τον εντοπισμό. Περιλαμβάνει μια ποικιλία άλλων δυνατοτήτων, όπως η τοποθέτηση κερκόπορτων σε τυχόν παραβιασμένα δοχεία και η χρήση άλλων τεχνικών για να αποκτήσετε επιμονή.

Οι τεχνικές επίθεσης μοιάζουν με εκείνες άλλων ομάδων που ερευνήθηκαν από το CrowdStrike, συμπεριλαμβανομένων των LemonDuck και Watchdog. Αλλά οι περισσότερες από τις τακτικές είναι παρόμοιες με την TeamTNT, η οποία στόχευε επίσης ευάλωτες και εσφαλμένες υποδομές Docker και Kubernetes, δήλωσε η CrowdStrike στη συμβουλευτική της.

Αν και τέτοιες επιθέσεις μπορεί να μην αισθάνονται παραβίαση, οι εταιρείες θα πρέπει να λαμβάνουν σοβαρά υπόψη τυχόν σημάδια ότι οι εισβολείς έχουν πρόσβαση στην υποδομή cloud τους, λέει ο Ahuje του CrowdStrike.

"Όταν οι εισβολείς εκτελούν ένα cryptominer στο περιβάλλον σας, αυτό είναι ένα σύμπτωμα ότι η πρώτη γραμμή άμυνάς σας έχει αποτύχει", λέει. «Οι κρυπτομολυτές δεν αφήνουν κανένα περιθώριο για να εκμεταλλευτούν αυτήν την επιφάνεια επίθεσης προς όφελός τους».