ক্রিপ্টোকারেন্সি মাইনিংয়ের জন্য সুপার কম্পিউটার হ্যাকের একটি তরঙ্গ

যুক্তরাজ্য, জার্মানি, সুইজারল্যান্ড এবং স্পেনের সুপারকম্পিউটিং কেন্দ্রগুলিতে অবস্থিত বেশ কয়েকটি বড় কম্পিউটিং ক্লাস্টারে, চিহ্নিত মোনেরো (এক্সএমআর) ক্রিপ্টোকারেন্সির লুকানো খনির জন্য অবকাঠামো হ্যাকিং এবং ম্যালওয়্যার ইনস্টলেশনের চিহ্ন। ঘটনার বিস্তারিত বিশ্লেষণ এখনও পাওয়া যায় নি, তবে প্রাথমিক তথ্য অনুযায়ী, ক্লাস্টারে কাজ চালানোর অ্যাক্সেস ছিল এমন গবেষকদের সিস্টেম থেকে শংসাপত্র চুরির ফলে সিস্টেমগুলি আপোস করা হয়েছিল (সম্প্রতি, অনেক ক্লাস্টার অ্যাক্সেস প্রদান করে তৃতীয় পক্ষের গবেষকরা SARS-CoV-2 করোনভাইরাস অধ্যয়ন করছেন এবং COVID-19 সংক্রমণের সাথে সম্পর্কিত প্রক্রিয়া মডেলিং পরিচালনা করছেন)। একটি ক্ষেত্রে ক্লাস্টারে অ্যাক্সেস পাওয়ার পর, আক্রমণকারীরা দুর্বলতাকে কাজে লাগিয়েছে জন্য CVE-2019-15666 লিনাক্স কার্নেলে রুট অ্যাক্সেস পেতে এবং একটি রুটকিট ইনস্টল করতে।

স্ট্যান্ড আউট দুটি ঘটনা যেখানে আক্রমণকারীরা ইউনিভার্সিটি অফ ক্রাকো (পোল্যান্ড), সাংহাই ট্রান্সপোর্ট ইউনিভার্সিটি (চীন) এবং চাইনিজ সায়েন্টিফিক নেটওয়ার্কের ব্যবহারকারীদের কাছ থেকে প্রাপ্ত শংসাপত্র ব্যবহার করেছে। শংসাপত্রগুলি আন্তর্জাতিক গবেষণা প্রোগ্রামগুলিতে অংশগ্রহণকারীদের কাছ থেকে নেওয়া হয়েছিল এবং SSH এর মাধ্যমে ক্লাস্টারগুলির সাথে সংযোগ করতে ব্যবহৃত হয়েছিল। শংসাপত্রগুলি ঠিক কীভাবে ক্যাপচার করা হয়েছিল তা এখনও স্পষ্ট নয়, তবে পাসওয়ার্ড ফাঁসের শিকারদের কিছু সিস্টেমে (সকল নয়) স্পুফড SSH এক্সিকিউটেবল ফাইলগুলি সনাক্ত করা হয়েছিল।

ফলে হামলাকারীরা করতে পারবেন পাওয়া ইউকে-ভিত্তিক (এডিনবার্গ বিশ্ববিদ্যালয়) ক্লাস্টারে অ্যাক্সেস ধনু, শীর্ষ 334 বৃহত্তম সুপার কম্পিউটারের মধ্যে 500 তম স্থানে রয়েছে৷ অনুরূপ অনুপ্রবেশ ছিল চিহ্নিত ক্লাস্টারে bwUniCluster 2.0 (Karlsruhe Institute of Technology, Germany), ForHLR II (Karlsruhe Institute of Technology, Germany), bwForCluster JUSTUS (Ulm University, Germany), bwForCluster BinAC (University of Tübingen, Germany) এবং StUtutgar, Hawkut জার্মানি)।
মধ্যে ক্লাস্টার নিরাপত্তা ঘটনা সম্পর্কে তথ্য সুইজারল্যান্ডের ন্যাশনাল সুপার কম্পিউটার সেন্টার (CSCS), জুলিচ গবেষণা কেন্দ্র (31 স্থান শীর্ষে 500), মিউনিখ বিশ্ববিদ্যালয় (জার্মানি) এবং লাইবনিজ কম্পিউটার সেন্টার (9, 85 и 86 শীর্ষ 500-এ স্থান)। এ ছাড়া কর্মচারীদের কাছ থেকে প্রাপ্ত বার্সেলোনা (স্পেন) এর হাই পারফরম্যান্স কম্পিউটিং সেন্টারের অবকাঠামোর আপস সম্পর্কে তথ্য এখনও আনুষ্ঠানিকভাবে নিশ্চিত করা হয়নি।

Анализ পরিবর্তন
দেখিয়েছি, যে দুটি দূষিত এক্সিকিউটেবল ফাইল আপস করা সার্ভারে ডাউনলোড করা হয়েছিল, যার জন্য suid রুট পতাকা সেট করা হয়েছিল: “/etc/fonts/.fonts” এবং “/etc/fonts/.low”। প্রথমটি রুট সুবিধা সহ শেল কমান্ড চালানোর জন্য একটি বুটলোডার এবং দ্বিতীয়টি আক্রমণকারী কার্যকলাপের চিহ্নগুলি মুছে ফেলার জন্য একটি লগ ক্লিনার৷ রুটকিট ইনস্টল করা সহ ক্ষতিকারক উপাদানগুলি লুকানোর জন্য বিভিন্ন কৌশল ব্যবহার করা হয়েছে। ডায়মোরফাইন, লিনাক্স কার্নেলের জন্য একটি মডিউল হিসাবে লোড করা হয়। একটি ক্ষেত্রে, খনন প্রক্রিয়া শুধুমাত্র রাতে শুরু হয়েছিল, যাতে মনোযোগ আকর্ষণ না হয়।

একবার হ্যাক হয়ে গেলে, হোস্টকে বিভিন্ন কাজ করতে ব্যবহার করা যেতে পারে, যেমন মাইনিং Monero (XMR), একটি প্রক্সি চালানো (অন্যান্য মাইনিং হোস্টের সাথে যোগাযোগ করা এবং খনির সমন্বয়কারী সার্ভার), একটি microSOCKS-ভিত্তিক SOCKS প্রক্সি চালানো (বহিরাগত স্বীকার করার জন্য) SSH এর মাধ্যমে সংযোগ) এবং SSH ফরওয়ার্ডিং (একটি আপস করা অ্যাকাউন্ট ব্যবহার করে অনুপ্রবেশের প্রাথমিক পয়েন্ট যেখানে একটি ঠিকানা অনুবাদক অভ্যন্তরীণ নেটওয়ার্কে ফরওয়ার্ড করার জন্য কনফিগার করা হয়েছিল)। আপোসকৃত হোস্টের সাথে সংযোগ করার সময়, আক্রমণকারীরা SOCKS প্রক্সি সহ হোস্ট ব্যবহার করে এবং সাধারণত Tor বা অন্যান্য আপস করা সিস্টেমের মাধ্যমে সংযুক্ত থাকে।

উত্স: opennet.ru