क्रिप्टोकरेंसी माइनिंग के लिए सुपरकंप्यूटर हैक की लहर

यूके, जर्मनी, स्विट्जरलैंड और स्पेन में सुपरकंप्यूटिंग केंद्रों में स्थित कई बड़े कंप्यूटिंग क्लस्टरों में, दिखाया गया मोनेरो (एक्सएमआर) क्रिप्टोकरेंसी के छिपे हुए खनन के लिए बुनियादी ढांचे की हैकिंग और मैलवेयर की स्थापना के निशान। घटनाओं का विस्तृत विश्लेषण अभी तक उपलब्ध नहीं है, लेकिन प्रारंभिक आंकड़ों के अनुसार, उन शोधकर्ताओं के सिस्टम से क्रेडेंशियल्स की चोरी के परिणामस्वरूप सिस्टम से समझौता किया गया था जिनके पास क्लस्टर में कार्य चलाने तक पहुंच थी (हाल ही में, कई क्लस्टर एक्सेस प्रदान करते हैं) तीसरे पक्ष के शोधकर्ता SARS-CoV-2 कोरोना वायरस का अध्ययन कर रहे हैं और COVID-19 संक्रमण से जुड़ी प्रक्रिया मॉडलिंग का संचालन कर रहे हैं)। एक मामले में क्लस्टर तक पहुंच प्राप्त करने के बाद, हमलावरों ने भेद्यता का फायदा उठाया CVE-2019-15666 रूट एक्सेस प्राप्त करने और रूटकिट स्थापित करने के लिए लिनक्स कर्नेल में।

अलग दिखना दो घटनाएं जिनमें हमलावरों ने क्राको विश्वविद्यालय (पोलैंड), शंघाई ट्रांसपोर्ट यूनिवर्सिटी (चीन) और चीनी विज्ञान नेटवर्क के उपयोगकर्ताओं से प्राप्त प्रमाण-पत्रों का उपयोग किया। अंतर्राष्ट्रीय अनुसंधान कार्यक्रमों में प्रतिभागियों से क्रेडेंशियल प्राप्त किए गए और एसएसएच के माध्यम से समूहों से जुड़ने के लिए उपयोग किया गया। क्रेडेंशियल वास्तव में कैसे कैप्चर किए गए यह अभी तक स्पष्ट नहीं है, लेकिन पासवर्ड लीक के पीड़ितों के कुछ सिस्टम (सभी नहीं) पर, नकली एसएसएच निष्पादन योग्य फ़ाइलों का पता लगाया गया था।

परिणामस्वरूप, हमलावर सक्षम थे मिलना यूके स्थित (एडिनबर्ग विश्वविद्यालय) क्लस्टर तक पहुंच धनुराशि, शीर्ष 334 सबसे बड़े सुपर कंप्यूटरों में 500वें स्थान पर है। निम्नलिखित समान पैठ थे दिखाया गया क्लस्टर में bwUniCluster 2.0 (कार्ल्स्रुहे इंस्टीट्यूट ऑफ टेक्नोलॉजी, जर्मनी), ForHLR II (कार्ल्स्रुहे इंस्टीट्यूट ऑफ टेक्नोलॉजी, जर्मनी), bwForCluster JUSTUS (उल्म यूनिवर्सिटी, जर्मनी), bwForCluster BinAC (ट्यूबिंगन विश्वविद्यालय, जर्मनी) और हॉक (स्टटगार्ट विश्वविद्यालय, जर्मनी).
क्लस्टर सुरक्षा घटनाओं के बारे में जानकारी स्विट्जरलैंड का राष्ट्रीय सुपरकंप्यूटर केंद्र (सीएससीएस), जूलिच रिसर्च सेंटर (31 जगह टॉप500 में), म्यूनिख विश्वविद्यालय (जर्मनी) और लीबनिज़ कंप्यूटर सेंटर (9, 85 и 86 टॉप500 में स्थान)। इसके अलावा, कर्मचारियों से प्राप्त बार्सिलोना (स्पेन) में हाई परफॉर्मेंस कंप्यूटिंग सेंटर के बुनियादी ढांचे के समझौते के बारे में जानकारी की अभी तक आधिकारिक पुष्टि नहीं की गई है।

के विश्लेषण परिवर्तन
पता चला है, कि दो दुर्भावनापूर्ण निष्पादन योग्य फ़ाइलें समझौता किए गए सर्वर पर डाउनलोड की गईं, जिसके लिए suid रूट फ़्लैग सेट किया गया था: "/etc/fonts/.fonts" और "/etc/fonts/.low"। पहला रूट विशेषाधिकारों के साथ शेल कमांड चलाने के लिए एक बूटलोडर है, और दूसरा हमलावर गतिविधि के निशान हटाने के लिए एक लॉग क्लीनर है। दुर्भावनापूर्ण घटकों को छिपाने के लिए रूटकिट स्थापित करने सहित विभिन्न तकनीकों का उपयोग किया गया है। Diamorphine, लिनक्स कर्नेल के लिए एक मॉड्यूल के रूप में लोड किया गया। एक मामले में, ध्यान आकर्षित न करने के लिए खनन प्रक्रिया केवल रात में शुरू की गई थी।

एक बार हैक होने के बाद, होस्ट का उपयोग विभिन्न कार्यों को करने के लिए किया जा सकता है, जैसे कि मोनरो (एक्सएमआर) को खनन करना, एक प्रॉक्सी चलाना (अन्य खनन होस्ट और खनन को समन्वयित करने वाले सर्वर के साथ संचार करना), एक माइक्रोसॉक्स-आधारित सॉक्स प्रॉक्सी चलाना (बाहरी स्वीकार करना) एसएसएच के माध्यम से कनेक्शन) और एसएसएच अग्रेषण (एक समझौता किए गए खाते का उपयोग करके प्रवेश का प्राथमिक बिंदु जिस पर आंतरिक नेटवर्क पर अग्रेषित करने के लिए एक पता अनुवादक कॉन्फ़िगर किया गया था)। समझौता किए गए होस्ट से कनेक्ट करते समय, हमलावरों ने SOCKS प्रॉक्सी के साथ होस्ट का उपयोग किया और आमतौर पर टोर या अन्य समझौता किए गए सिस्टम के माध्यम से जुड़े।

स्रोत: opennet.ru