Cryptojacking, Freejacking Compromise Cloud Infrastructure

Cryptojacking se vrača, pri čemer napadalci uporabljajo različne sheme za izkoriščanje brezplačne procesorske moči iz infrastrukture v oblaku, da se osredotočijo na rudarjenje kriptovalut, kot sta Bitcoin in Monero.

Po besedah ​​Sysdiga, ponudnika varnosti za storitve v oblaku, kriptomerji uporabljajo razpoložljivost brezplačnih preizkusov na nekaterih največjih storitvah za stalno integracijo in uvajanje (CI/CD) za uvajanje kode in ustvarjanje platform za distribuirano rudarjenje. Napadalci ciljajo tudi na napačno konfigurirane instance Kubernetes in Docker, da pridobijo dostop do gostiteljskih sistemov in zaženejo programsko opremo za kripto rudarjenje, je ta teden opozorilo podjetje za kibernetsko varnost CrowdStrike.

Obe taktiki pravzaprav samo poskušata unovčiti porast digitalnih valut na račun nekoga drugega, pravi Manoj Ahuje, višji raziskovalec groženj za varnost v oblaku pri CrowdStrike.

"Dokler je ogrožena delovna obremenitev na voljo, je v bistvu brezplačno računanje - za kriptomer je to samo po sebi zmaga, saj njegovi vhodni stroški postanejo nič," pravi. "In … če lahko napadalec učinkovito ogrozi veliko število takšnih delovnih obremenitev z množičnim izvajanjem računalništva za rudarjenje, to pomaga hitreje doseči cilj in izkopati več v enakem času."

Prizadevanja za kripto rudarjenje se sčasoma povečujejo, čeprav je vrednost kriptovalut v zadnjih 11 mesecih padla. Bitcoin, na primer, je znižala za 70 % glede na svoj vrh novembra 2021, ki vpliva na številne storitve, ki temeljijo na kriptovalutah. Vendar najnovejši napadi kažejo, da si kibernetski kriminalci prizadevajo pobrati najnižji sadež.

Morda se zdi, da ogrožanje infrastrukture v oblaku ponudnikov ne škoduje podjetjem, vendar se bodo stroški takih vdorov znižali. Sysdig je ugotovil, da napadalec običajno zaslužite samo 1 $ za vsakih 53 $ stroškov nosijo lastniki oblačne infrastrukture. Rudarjenje enega samega kovanca Monero z uporabo brezplačnih preizkusov na GitHubu bi na primer to podjetje stalo več kot 100,000 dolarjev izgubljenega prihodka, je ocenil Sysdig.

Vendar pa podjetja na začetku morda ne bodo videla škode v kriptomodarstvu, pravi Crystal Morin, raziskovalka groženj pri Sysdigu.

»Nikomur ne škodijo neposredno, na primer nekomu vzamejo infrastrukturo ali ukradejo podatke podjetjem, toda če bi to povečali ali če bi druge skupine izkoristile tovrstno operacijo - 'freejacking' - bi to lahko začelo finančno škodovati tem ponudnikom in vplivati ​​– na zadnji strani – na uporabnike, saj bodo brezplačni preizkusi ukinjeni ali bodo zakoniti uporabniki prisiljeni plačati več,« pravi.

Kriptokopači povsod

Zdi se, da je najnovejši napad, ki ga je Sysdig poimenoval PURPLEURCHIN, poskus sestaviti omrežje kripto rudarjenja iz čim več storitev, ki ponujajo brezplačne preizkuse. Sysdigovi raziskovalci so odkrili, da najnovejše omrežje za kripto rudarjenje uporablja 30 računov GitHub, 2,000 računov Heroku in 900 računov Buddy. Skupina kibernetskih kriminalcev prenese vsebnik Docker, zažene program JavaScript in naloži v določen vsebnik.

Michael Clark, direktor raziskave groženj za Sysdig, pravi, da je uspeh napada v resnici posledica prizadevanj skupine kibernetskih kriminalcev za čim večjo avtomatizacijo.

"Resnično so avtomatizirali dejavnost vstopanja v nove račune," pravi. »Uporabljajo obvode CAPTCHA, vizualne in zvočne različice. Ustvarjajo nove domene in gostijo e-poštne strežnike na infrastrukturi, ki so jo zgradili. Vse je modularno, zato na virtualnem gostitelju zavrtijo kup vsebnikov.«

GitHub, na primer, ponuja 2,000 brezplačnih minut GitHub Action na mesec na svoji brezplačni ravni, kar bi lahko predstavljalo do 33 ur delovanja za vsak račun, je Sysdig navedel v svoji analizi.

Poljub psa

Kampanja za kriptovalutanje CrowdStrike odkril cilja na ranljivo infrastrukturo Docker in Kubernetes. Imenuje se kampanja Kiss-a-Dog in kriptominerji uporabljajo več ukazno-nadzornih (C2) strežnikov za odpornost, pri čemer uporabljajo rootkite, da se izognejo odkrivanju. Vključuje vrsto drugih zmožnosti, kot je postavitev stranskih vrat v vse ogrožene vsebnike in uporaba drugih tehnik za pridobitev obstojnosti.

Tehnike napada so podobne tistim drugih skupin, ki jih je raziskoval CrowdStrike, vključno z LemonDuck in Watchdog. Toda večina taktik je podobnih TeamTNT, ki je ciljal tudi na ranljivo in napačno konfigurirano infrastrukturo Docker in Kubernetes, je CrowdStrike navedel v svojem svetovanju.

Čeprav se takšni napadi morda ne zdijo kot kršitev, bi morala podjetja resno jemati vse znake, da imajo napadalci dostop do njihove infrastrukture v oblaku, pravi Ahuje iz CrowdStrike.

"Ko napadalci zaženejo kriptominer v vašem okolju, je to simptom, da je vaša prva obrambna linija odpovedala," pravi. "Kriptokopači ne puščajo neprevrnjenih kamnov, da bi izkoristili to napadalno površino v svojo korist."