암호화폐 채굴을 위한 슈퍼컴퓨터 해킹의 물결

영국, 독일, 스위스, 스페인의 슈퍼컴퓨팅 센터에 위치한 여러 대규모 컴퓨팅 클러스터에서는 식별 모네로(XMR) 암호화폐 숨김 채굴을 위한 인프라 해킹 및 악성코드 설치 흔적. 사건에 대한 자세한 분석은 아직 제공되지 않았지만 예비 데이터에 따르면 클러스터에서 작업을 실행하기 위해 액세스할 수 있는 연구원 시스템에서 자격 증명을 도용한 결과 시스템이 손상되었습니다(최근에는 많은 클러스터에서 액세스 권한을 제공함). SARS-CoV-2 코로나바이러스를 연구하고 코로나19 감염과 관련된 프로세스 모델링을 수행하는 제XNUMX자 연구원). 공격자는 사례 중 하나에서 클러스터에 액세스한 후 취약점을 악용했습니다. CVE-2019-15666 Linux 커널에서 루트 액세스 권한을 얻고 루트킷을 설치합니다.

눈에 띄는 공격자가 크라쿠프 대학(폴란드), 상하이 교통 대학(중국) 및 중국 과학 네트워크의 사용자로부터 캡처한 자격 증명을 사용한 두 건의 사건이 있었습니다. 자격 증명은 국제 연구 프로그램 참가자로부터 캡처되었으며 SSH를 통해 클러스터에 연결하는 데 사용되었습니다. 자격 증명이 정확히 어떻게 캡처되었는지는 아직 명확하지 않지만 비밀번호 유출 피해자의 일부 시스템(전부는 아님)에서 스푸핑된 SSH 실행 파일이 식별되었습니다.

그 결과 공격자들은 수 있었다 수 영국 기반(에딘버러 대학교) 클러스터에 대한 액세스 궁수, 상위 334대 슈퍼컴퓨터 중 500위를 차지했습니다. 비슷한 침투가 이어졌습니다. 식별 클러스터에는 bwUniCluster 2.0(독일 카를스루에 기술 연구소), ForHLR II(독일 카를스루에 기술 연구소), bwForCluster JUSTUS(독일 울름 대학교), bwForCluster BinAC(독일 튀빙겐 대학교) 및 Hawk(슈투트가르트 대학교, 독일).
클러스터 보안 사고에 대한 정보 스위스 국립슈퍼컴퓨터센터 (CSCS), 율리히 연구센터 (31 장소 상위 500위), 뮌헨대학교 (독일) 및 라이프니츠 컴퓨터 센터 (9, 85 и 86 Top500에 들었습니다). 게다가 직원들로부터 받았다 스페인 바르셀로나에 있는 고성능 컴퓨팅 센터의 인프라 손상에 대한 정보는 아직 공식적으로 확인되지 않았습니다.

분석 변경
보여 주는, suid 루트 플래그가 설정된 손상된 서버에 두 개의 악성 실행 파일이 다운로드되었습니다: "/etc/fonts/.fonts" 및 "/etc/fonts/.low". 첫 번째는 루트 권한으로 셸 명령을 실행하기 위한 부트로더이고, 두 번째는 공격자 활동의 흔적을 제거하기 위한 로그 클리너입니다. 루트킷 설치를 포함하여 악성 구성 요소를 숨기기 위해 다양한 기술이 사용되었습니다. 다이아 모르핀, Linux 커널용 모듈로 로드됩니다. 어떤 경우에는 주목을 끌지 않기 위해 밤에만 채굴이 시작되었습니다.

일단 해킹되면 호스트는 Monero(XMR) 채굴, 프록시 실행(다른 채굴 호스트 및 채굴을 조정하는 서버와 통신), microSOCKS 기반 SOCKS 프록시 실행(외부 허용)과 같은 다양한 작업을 수행하는 데 사용될 수 있습니다. SSH를 통한 연결) 및 SSH 전달(내부 네트워크로 전달하기 위해 주소 변환기가 구성된 손상된 계정을 사용하는 주요 침투 지점). 손상된 호스트에 연결할 때 공격자는 SOCKS 프록시가 있는 호스트를 사용했으며 일반적으로 Tor 또는 기타 손상된 시스템을 통해 연결되었습니다.

출처 : opennet.ru