גל של פריצות למחשבי-על לכריית מטבעות קריפטוגרפיים

במספר אשכולות מחשוב גדולים הממוקמים במרכזי מחשוב-על בבריטניה, גרמניה, שוויץ וספרד, מזוהה עקבות של פריצת תשתית והתקנת תוכנות זדוניות לכרייה נסתרת של המטבע הקריפטוגרפי Monero (XMR). ניתוח מפורט של האירועים אינו זמין עדיין, אך על פי נתונים ראשוניים, המערכות נפגעו כתוצאה מגניבת אישורים ממערכות של חוקרים שהייתה להם גישה להפעיל משימות באשכולות (לאחרונה, אשכולות רבים מספקים גישה ל- חוקרים של צד שלישי החוקרים את נגיף הקורונה SARS-CoV-2 ומבצעים מודלים של תהליכים הקשורים לזיהום ב-COVID-19). לאחר שקיבלו גישה לאשכול באחד המקרים, התוקפים ניצלו את הפגיעות CVE-2019-15666 בליבת לינוקס כדי לקבל גישה לשורש ולהתקין ערכת שורש.

בולט שני תקריות שבהן התוקפים השתמשו באישורים שנלכדו ממשתמשים מאוניברסיטת קרקוב (פולין), אוניברסיטת שנגחאי התחבורה (סין) והרשת המדעית הסינית. אישורים נלכדו ממשתתפים בתוכניות מחקר בינלאומיות ושימשו לחיבור לאשכולות באמצעות SSH. איך בדיוק נלכדו האישורים עדיין לא ברור, אבל בחלק מהמערכות (לא כולן) של הקורבנות של דליפת הסיסמה, זוהו קובצי הפעלה מזויפים של SSH.

כתוצאה מכך, התוקפים יכול לקבל גישה לאשכול הממוקם בבריטניה (אוניברסיטת אדינבורו). קַשָׁת, מדורג במקום ה-334 ב-Top500 מחשבי העל הגדולים ביותר. בעקבות חדירות דומות היו מזוהה באשכולות bwUniCluster 2.0 (המכון הטכנולוגי של קרלסרוהה, גרמניה), ForHLR II (המכון הטכנולוגי של קרלסרוהה, גרמניה), bwForCluster JUSTUS (אוניברסיטת Ulm, גרמניה), bwForCluster BinAC (אוניברסיטת טובינגן, גרמניה) והוק (אוניברסיטת שטוטגרט, גֶרמָנִיָה).
מידע על אירועי אבטחה באשכולות ב מרכז מחשבי העל הלאומי של שוויץ (CSCS), מרכז המחקר יוליך (מקום 31 ב-500 המובילים), אוניברסיטת מינכן (גרמניה) ו מרכז המחשבים לייבניץ (9, 85 и 86 מקומות ב-500 המובילים). בנוסף, מעובדים קיבלו מידע על הפשרה של התשתית של מרכז המחשוב הגבוה בביצועים בברצלונה (ספרד) טרם אושר רשמית.

ניתוח של שינויים
הראה, ששני קבצי הפעלה זדוניים הורדו לשרתים שנפגעו, שעבורם הוגדר דגל השורש של suid: "/etc/fonts/.fonts" ו-"/etc/fonts/.low". הראשון הוא טוען אתחול להפעלת פקודות מעטפת עם הרשאות שורש, והשני הוא מנקה יומנים להסרת עקבות של פעילות תוקפים. נעשה שימוש בטכניקות שונות כדי להסתיר רכיבים זדוניים, כולל התקנת ערכת rootkit. דיאמורפין, נטען כמודול עבור ליבת לינוקס. במקרה אחד, תהליך הכרייה הוחל רק בלילה, כדי לא למשוך תשומת לב.

לאחר פריצה, המארח יכול לשמש לביצוע משימות שונות, כגון כריית Monero (XMR), הפעלת פרוקסי (כדי לתקשר עם מארחי כרייה אחרים והשרת המתאם את הכרייה), הפעלת פרוקסי SOCKS מבוסס microSOCKS (כדי לקבל חיצוני חיבורים באמצעות SSH) והעברת SSH (נקודת החדירה העיקרית באמצעות חשבון שנפרץ בו הוגדר מתרגם כתובות להעברה לרשת הפנימית). בעת התחברות למארחים שנפגעו, התוקפים השתמשו במארחים עם פרוקסי SOCKS ובדרך כלל התחברו דרך Tor או מערכות אחרות שנפרצו.

מקור: OpenNet.ru