Бран хакери на суперкомпјутер за ископување криптовалути

Во неколку големи компјутерски кластери лоцирани во суперкомпјутерски центри во ОК, Германија, Швајцарија и Шпанија, идентификувани траги од хакирање на инфраструктурата и инсталирање на малициозен софтвер за скриено ископување на криптовалутата Monero (XMR). Сè уште не е достапна детална анализа на инцидентите, но според прелиминарните податоци, системите биле компромитирани како резултат на кражба на ингеренциите од системите на истражувачи кои имале пристап да извршуваат задачи во кластери (неодамна, многу кластери обезбедуваат пристап до истражувачи од трети страни кои го проучуваат коронавирусот SARS-CoV-2 и спроведуваат моделирање на процеси поврзани со инфекцијата СОВИД-19). Откако добија пристап до кластерот во еден од случаите, напаѓачите ја искористија ранливоста CVE-2019-15666 во кернелот на Линукс за да се добие root пристап и да се инсталира rootkit.

се издвојува два инциденти во кои напаѓачите користеа акредитации заробени од корисници од Универзитетот во Краков (Полска), Транспортниот универзитет во Шангај (Кина) и Кинеската научна мрежа. Акредитациите беа земени од учесниците во меѓународните истражувачки програми и се користеа за поврзување со кластери преку SSH. Како точно се заробени ингеренциите сè уште не е јасно, но на некои системи (не сите) од жртвите на протекувањето на лозинката, откриени се лажни извршни датотеки SSH.

Како резултат на тоа, напаѓачите беа во можност да се пристап до кластерот со седиште во ОК (Универзитетот во Единбург). Стрелец, рангирана на 334 место во Топ 500 најголеми суперкомпјутери. Следни слични пенетрации беа идентификувани во кластерите bwUniCluster 2.0 (Карлсруе институт за технологија, Германија), ForHLR II (Институт за технологија Карлсруе, Германија), bwForCluster JUSTUS (Универзитет Улм, Германија), bwForCluster BinAC (Универзитет во Тибинген, Германија) и Хок (Универзитет во Штутгарт, Германија).
Информации за инциденти за безбедност на кластери во Национален суперкомпјутерски центар на Швајцарија (CSCS), Истражувачки центар Јулих (31 место во топ 500), Универзитетот во Минхен (Германија) и Компјутерски центар Лајбниц (9, 85 и 86 места во Топ500). Покрај тоа, од вработените примени информациите за компромисот на инфраструктурата на компјутерскиот центар со високи перформанси во Барселона (Шпанија) се уште не се официјално потврдени.

Анализа промени
покажа, дека две малициозни извршни датотеки се преземени на компромитирани сервери, за кои е поставено знамето suid root: „/etc/fonts/.fonts“ и „/etc/fonts/.low“. Првиот е подигнувач за извршување на команди на школка со права на root, а вториот е чистач на дневници за отстранување на траги од активноста на напаѓачот. Различни техники се користени за да се сокријат малициозните компоненти, вклучително и инсталирање на rootkit. diamorphine, вчитан како модул за кернелот Линукс. Во еден случај, процесот на рударство започна само ноќе, за да не се привлече внимание.

Откако ќе биде хакиран, домаќинот може да се користи за извршување на различни задачи, како што се рударство Monero (XMR), водење прокси (за комуникација со други хостови за рударство и сервер кој го координира рударството), водење на прокси SOCKS базиран на microSOCKS (за прифаќање на надворешни врски преку SSH) и SSH препраќање (примарната точка на пенетрација со користење на компромитирана сметка на која е конфигуриран преведувач на адреси за препраќање до внатрешната мрежа). Кога се поврзуваат со компромитирани хостови, напаѓачите користеле хостови со прокси SOCKS и обично се поврзуваат преку Tor или други компромитирани системи.

Извор: opennet.ru