Vag antay sipèkonpitè pou min cryptocurrency

Nan plizyè gwo gwoup enfòmatik ki sitiye nan sant supercomputing nan UK, Almay, Swis ak Espay, idantifye tras nan pirataj enfrastrikti ak enstalasyon malveyan pou min kache nan lajan kript Monero (XMR). Yon analiz detaye sou ensidan yo poko disponib, men dapre done preliminè yo, sistèm yo te konpwomèt akoz vòlè kalifikasyon yo nan sistèm chèchè yo ki te gen aksè pou fè travay nan gwoup (dènyèman, anpil gwoup bay aksè a chèchè twazyèm pati k ap etidye coronavirus SARS-CoV-2 epi k ap fè modèl pwosesis ki asosye ak enfeksyon COVID-19). Apre yo fin jwenn aksè nan gwoup la nan youn nan ka yo, atakè yo eksplwate vilnerabilite a CVE-2019-15666 nan nwayo Linux pou jwenn aksè rasin epi enstale yon routki.

Kanpe deyò de ensidan kote atakè yo te itilize kalifikasyon yo te kaptire nan men itilizatè ki soti nan University of Krakow (Polòy), Shanghai Transport University (Lachin) ak Chinese Science Network. Yo te pran kalifikasyon nan men patisipan yo nan pwogram rechèch entènasyonal yo epi yo te itilize yo pou konekte ak gwoup atravè SSH. Ki jan egzakteman yo te kaptire kalifikasyon yo poko klè, men sou kèk sistèm (se pa tout) nan viktim yo nan koule modpas la, yo te idantifye fichye ègzekutabl SSH falsifye.

Kòm yon rezilta, atakè yo yo te kapab jwenn aksè nan gwoup ki baze nan UK (University of Edinburgh). Archer, klase 334th nan Top500 pi gwo superordinateur yo. Swivan pénétration menm jan an te idantifye nan grap bwUniCluster 2.0 (Karlsruhe Institute of Technology, Almay), ForHLR II (Karlsruhe Institute of Technology, Almay), bwForCluster JUSTUS (Ulm University, Almay), bwForCluster BinAC (University of Tübingen, Almay) ak Hawk (University of Stuttgart, Almay).
Enfòmasyon sou ensidan sekirite gwoup nan National Supercomputer Center nan Swis (CSCS), Sant rechèch Jülich (31 kote nan top500), Inivèsite Minik (Almay) ak Sant òdinatè Leibniz (9, 85 и 86 kote nan Top500 la). Anplis de sa, nan men anplwaye yo resevwa enfòmasyon sou konpwomi a nan enfrastrikti nan High Performance Computing Center nan Barcelona (Espay) poko konfime ofisyèlman.

Analiz chanjman
te montre, ke de move dosye ègzèkutabl yo te telechaje sou sèvè yo konpwomèt, pou ki drapo rasin suid la te mete: "/etc/fonts/.fonts" ak "/etc/fonts/.low". Premye a se yon chajè demaraj pou kouri kòmandman koki ak privilèj rasin, ak dezyèm lan se yon netwayaj boutèy demi lit pou retire tras aktivite atakè yo. Yo te itilize plizyè teknik pou kache konpozan move, tankou enstale yon routki. dyamorfin, chaje kòm yon modil pou nwayo Linux la. Nan yon ka, pwosesis min la te kòmanse sèlman nan mitan lannwit, se konsa yo pa atire atansyon.

Yon fwa rache, lame a ka itilize pou fè travay divès kalite, tankou min Monero (XMR), kouri yon prokurasyon (pou kominike ak lòt lame min ak sèvè a kowòdone min la), kouri yon proxy SOCKS ki baze sou microSOCKS (pou aksepte ekstèn. koneksyon atravè SSH) ak SSH voye (pwen prensipal la nan pénétration lè l sèvi avèk yon kont konpwomèt kote yo te konfigirasyon yon tradiktè adrès pou voye nan rezo entèn la). Lè yo konekte ak lame konpwomèt, atakè yo te itilize lame ak proxy SOCKS epi anjeneral konekte atravè Tor oswa lòt sistèm konpwomèt.

Sous: opennet.ru