ຄື້ນ​ຂອງ​ການ hacks supercomputer ສໍາ​ລັບ​ການ​ຂຸດ​ຄົ້ນ cryptocurrency

ໃນກຸ່ມຄອມພິວເຕີຂະຫນາດໃຫຍ່ຈໍານວນຫນຶ່ງທີ່ຕັ້ງຢູ່ໃນສູນ supercomputing ໃນອັງກິດ, ເຢຍລະມັນ, ສະວິດເຊີແລນແລະສະເປນ, ກໍານົດ ຮ່ອງຮອຍຂອງການແຮັກພື້ນຖານໂຄງລ່າງແລະການຕິດຕັ້ງ malware ສໍາລັບການຂຸດຄົ້ນບໍ່ແຮ່ທີ່ເຊື່ອງໄວ້ຂອງ Monero (XMR) cryptocurrency. ການວິເຄາະລາຍລະອຽດຂອງເຫດການຍັງບໍ່ທັນມີເທື່ອ, ແຕ່ອີງຕາມຂໍ້ມູນເບື້ອງຕົ້ນ, ລະບົບຕ່າງໆໄດ້ຖືກບຸກລຸກເປັນຜົນມາຈາກການລັກເອົາຂໍ້ມູນປະຈໍາຕົວຈາກລະບົບຂອງນັກຄົ້ນຄວ້າທີ່ສາມາດເຂົ້າເຖິງວຽກງານໃນກຸ່ມ (ບໍ່ດົນມານີ້, ຫຼາຍກຸ່ມສະຫນອງການເຂົ້າເຖິງ. ນັກຄົ້ນຄວ້າພາກສ່ວນທີສາມທີ່ສຶກສາກ່ຽວກັບໂຣກ SARS-CoV-2 ແລະການສ້າງແບບຈໍາລອງຂະບວນການທີ່ກ່ຽວຂ້ອງກັບການຕິດເຊື້ອ COVID-19). ຫຼັງຈາກໄດ້ເຂົ້າເຖິງກຸ່ມໃນກໍລະນີໜຶ່ງ, ຜູ້ໂຈມຕີໄດ້ໃຊ້ຊ່ອງໂຫວ່ດັ່ງກ່າວ CVE-2019-15666 ໃນ Linux kernel ເພື່ອເຂົ້າເຖິງຮາກແລະຕິດຕັ້ງ rootkit.

ຢືນອອກ ສອງ​ເຫດ​ການ​ທີ່​ຜູ້​ໂຈມ​ຕີ​ໃຊ້​ໃບ​ຢັ້ງ​ຢືນ​ຈັບ​ໄດ້​ຈາກ​ຜູ້​ໃຊ້​ຈາກ​ມະ​ຫາ​ວິ​ທະ​ຍາ​ໄລ Krakow (ໂປ​ແລນ​)​, Shanghai Transport University (ຈີນ​) ແລະ​ເຄືອ​ຂ່າຍ​ວິ​ທະ​ຍາ​ສາດ​ຈີນ​. ຂໍ້ມູນປະຈຳຕົວໄດ້ຖືກຈັບຈາກຜູ້ເຂົ້າຮ່ວມໃນໂຄງການຄົ້ນຄວ້າສາກົນ ແລະໃຊ້ເພື່ອເຊື່ອມຕໍ່ກັບກຸ່ມຜ່ານ SSH. ຂໍ້ມູນປະຈຳຕົວຖືກຈັບແນວໃດນັ້ນແມ່ນຍັງບໍ່ທັນເປັນທີ່ຈະແຈ້ງເທື່ອ, ແຕ່ໃນບາງລະບົບ (ບໍ່ແມ່ນທັງໝົດ) ຂອງຜູ້ເຄາະຮ້າຍຈາກການຮົ່ວໄຫຼຂອງລະຫັດຜ່ານ, ໄຟລ໌ SSH ທີ່ຫຼອກລວງໄດ້ຖືກກໍານົດ.

ດັ່ງນັ້ນ, ຜູ້ໂຈມຕີ ສາມາດ ເພື່ອໃຫ້ໄດ້ຮັບ ເຂົ້າເຖິງກຸ່ມ (ມະຫາວິທະຍາໄລ Edinburgh) ທີ່ຕັ້ງຢູ່ອັງກິດ Archer, ຢູ່ໃນອັນດັບທີ 334 ຢູ່ໃນ Top500 ຊຸບເປີຄອມພິວເຕີທີ່ໃຫຍ່ທີ່ສຸດ. ປະຕິບັດຕາມການເຈາະທີ່ຄ້າຍຄືກັນໄດ້ ກໍານົດ ໃນກຸ່ມ bwUniCluster 2.0 (ສະຖາບັນເຕັກໂນໂລຊີ Karlsruhe, ເຢຍລະມັນ), ForHLR II (ສະຖາບັນເຕັກໂນໂລຊີ Karlsruhe, ເຢຍລະມັນ), bwForCluster JUSTUS (ມະຫາວິທະຍາໄລ Ulm, ເຢຍລະມັນ), bwForCluster BinAC (ມະຫາວິທະຍາໄລ Tübingen, ເຢຍລະມັນ) ແລະ Hawk (ມະຫາວິທະຍາໄລ Stuttgar ເຢຍລະມັນ).
ຂໍ້ມູນກ່ຽວກັບເຫດການຄວາມປອດໄພຂອງກຸ່ມໃນ ສູນ Supercomputer ແຫ່ງຊາດຂອງສະວິດເຊີແລນ (CSCS), ສູນຄົ້ນຄວ້າ Jülich (ອັນດັບ 31 ໃນ top500), ມະຫາວິທະຍາໄລ Munich (ເຢຍລະມັນ) ແລະ ສູນຄອມພິວເຕີ Leibniz (9, 85 и 86 ສະຖານທີ່ໃນ Top500). ນອກຈາກນັ້ນ, ຈາກພະນັກງານ ໄດ້ຮັບ ຂໍ້ມູນກ່ຽວກັບການປະນີປະນອມຂອງໂຄງສ້າງພື້ນຖານຂອງສູນຄອມພິວເຕີ້ທີ່ມີປະສິດທິພາບສູງໃນບາເຊໂລນາ (ສະເປນ) ຍັງບໍ່ທັນໄດ້ຮັບການຢືນຢັນຢ່າງເປັນທາງການ.

Анализ ການປ່ຽນແປງ
ສະແດງໃຫ້ເຫັນ, ວ່າສອງໄຟລ໌ປະຕິບັດທີ່ເປັນອັນຕະລາຍໄດ້ຖືກດາວໂຫຼດໃສ່ເຄື່ອງແມ່ຂ່າຍທີ່ຖືກທໍາລາຍ, ເຊິ່ງກໍານົດທຸງຮາກ suid: “/etc/fonts/.fonts” ແລະ “/etc/fonts/.low”. ອັນທໍາອິດແມ່ນ bootloader ສໍາລັບການແລ່ນຄໍາສັ່ງ shell ທີ່ມີສິດທິຂອງຮາກ, ແລະອັນທີສອງແມ່ນຕົວເຮັດຄວາມສະອາດບັນທຶກສໍາລັບການຖອນການຕິດຕາມກິດຈະກໍາຂອງຜູ້ໂຈມຕີ. ເຕັກນິກຕ່າງໆໄດ້ຖືກນໍາໃຊ້ເພື່ອຊ່ອນອົງປະກອບທີ່ເປັນອັນຕະລາຍ, ລວມທັງການຕິດຕັ້ງ rootkit. ຮູບຊົງ, ໂຫລດເປັນໂມດູນສໍາລັບ Linux kernel. ໃນກໍລະນີຫນຶ່ງ, ຂະບວນການຂຸດຄົ້ນບໍ່ແຮ່ໄດ້ເລີ່ມຕົ້ນພຽງແຕ່ໃນຕອນກາງຄືນ, ເພື່ອບໍ່ໃຫ້ຄວາມສົນໃຈ.

ເມື່ອຖືກແຮັກ, ໂຮດສາມາດຖືກນໍາໃຊ້ເພື່ອປະຕິບັດວຽກງານຕ່າງໆ, ເຊັ່ນການຂຸດຄົ້ນ Monero (XMR), ແລ່ນພຣັອກຊີ (ເພື່ອຕິດຕໍ່ສື່ສານກັບແມ່ຂ່າຍຂຸດຄົ້ນບໍ່ແຮ່ອື່ນໆແລະເຄື່ອງແມ່ຂ່າຍທີ່ປະສານງານການຂຸດຄົ້ນ), ແລ່ນ proxy SOCKS ທີ່ອີງໃສ່ microSOCKS (ເພື່ອຍອມຮັບພາຍນອກ. ການເຊື່ອມຕໍ່ຜ່ານ SSH) ແລະການສົ່ງຕໍ່ SSH (ຈຸດຕົ້ນຕໍຂອງການເຈາະຂໍ້ມູນໂດຍໃຊ້ບັນຊີທີ່ຖືກທໍາລາຍທີ່ຕົວແປທີ່ຢູ່ໄດ້ຖືກຕັ້ງຄ່າສໍາລັບການສົ່ງຕໍ່ກັບເຄືອຂ່າຍພາຍໃນ). ເມື່ອເຊື່ອມຕໍ່ກັບໂຮສທີ່ຖືກເຄາະຮ້າຍ, ຜູ້ໂຈມຕີໄດ້ໃຊ້ໂຮສທີ່ມີພຣັອກຊີ SOCKS ແລະໂດຍທົ່ວໄປແລ້ວຈະເຊື່ອມຕໍ່ຜ່ານ Tor ຫຼືລະບົບທີ່ຖືກລະເມີດອື່ນໆ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru