Fala hacków na superkomputery do wydobywania kryptowalut

W kilku dużych klastrach obliczeniowych zlokalizowanych w centrach superkomputerowych w Wielkiej Brytanii, Niemczech, Szwajcarii i Hiszpanii, zidentyfikowane ślady włamań do infrastruktury i instalacji złośliwego oprogramowania do ukrytego wydobywania kryptowaluty Monero (XMR). Szczegółowa analiza incydentów nie jest jeszcze dostępna, ale według wstępnych danych do systemów doszło w wyniku kradzieży danych uwierzytelniających z systemów badaczy, którzy mieli dostęp do wykonywania zadań w klastrach (ostatnio wiele klastrów udostępnia zewnętrzni badacze badający koronaawirusa SARS-CoV-2 i prowadzący modelowanie procesów związanych z infekcją COVID-19). W jednym z przypadków napastnicy po uzyskaniu dostępu do klastra wykorzystali tę lukę CVE-2019-15666 w jądrze Linuksa, aby uzyskać dostęp do konta root i zainstalować rootkita.

Wyróżnij się dwa incydenty, w których napastnicy wykorzystali dane uwierzytelniające przechwycone od użytkowników z Uniwersytetu Krakowskiego (Polska), Uniwersytetu Transportowego w Szanghaju (Chiny) i Chińskiej Sieci Naukowej. Od uczestników międzynarodowych programów badawczych pozyskano dane uwierzytelniające i wykorzystano je do łączenia się z klastrami za pośrednictwem protokołu SSH. Nie jest jeszcze jasne, w jaki sposób dokładnie przechwycono dane uwierzytelniające, ale w niektórych (nie wszystkich) systemach ofiar wycieku hasła zidentyfikowano sfałszowane pliki wykonywalne SSH.

W rezultacie napastnicy mógł dostać dostęp do klastra z siedzibą w Wielkiej Brytanii (Uniwersytet w Edynburgu). Łucznik, na 334. miejscu na liście 500 największych superkomputerów. Po podobnych penetracjach były zidentyfikowane w klastrach bwUniCluster 2.0 (Instytut Technologiczny w Karlsruhe, Niemcy), ForHLR II (Instytut Technologiczny w Karlsruhe, Niemcy), bwForCluster JUSTUS (Uniwersytet w Ulm, Niemcy), bwForCluster BinAC (Uniwersytet w Tybindze, Niemcy) i Hawk (Uniwersytet w Stuttgarcie, Niemcy).
Informacje o incydentach bezpieczeństwa klastra w Narodowe Centrum Superkomputerów w Szwajcarii (CSCS), Centrum Badawcze w Jülich (Miejsce 31 w top500), Uniwersytet w Monachium (Niemcy) i Centrum Komputerowe Leibniza (9, 85 и 86 miejsca w Top500). W dodatku od pracowników otrzymane informacja o kompromitacji infrastruktury Centrum Obliczeń Wielkiej Skali w Barcelonie (Hiszpania) nie została jeszcze oficjalnie potwierdzona.

Analiza zmiany
pokazane, że na zaatakowane serwery, dla których ustawiono flagę root suid, zostały pobrane dwa złośliwe pliki wykonywalne: „/etc/fonts/.fonts” i „/etc/fonts/.low”. Pierwszy to program ładujący do uruchamiania poleceń powłoki z uprawnieniami roota, a drugi to narzędzie do czyszczenia dzienników, umożliwiające usuwanie śladów aktywności atakującego. Do ukrywania szkodliwych komponentów zastosowano różne techniki, w tym instalację rootkita. Diamorfina, ładowany jako moduł dla jądra Linuksa. W jednym przypadku wydobycie rozpoczęto wyłącznie w nocy, aby nie przyciągać uwagi.

Po zhakowaniu host może być używany do wykonywania różnych zadań, takich jak wydobywanie Monero (XMR), uruchamianie serwera proxy (w celu komunikowania się z innymi hostami wydobywania i serwerem koordynującym wydobywanie), uruchamianie proxy SOCKS opartego na microSOCKS (w celu akceptowania zewnętrznych połączenia przez SSH) i przekazywanie SSH (główny punkt penetracji przy użyciu przejętego konta, na którym skonfigurowano tłumacz adresów do przekazywania do sieci wewnętrznej). Łącząc się z zaatakowanymi hostami, napastnicy korzystali z hostów z serwerami proxy SOCKS i zazwyczaj łączyli się za pośrednictwem Tora lub innych zaatakowanych systemów.

Źródło: opennet.ru