Талас суперкомпјутерских хакова за рударење криптовалута

У неколико великих рачунарских кластера смештених у суперрачунарским центрима у Великој Британији, Немачкој, Швајцарској и Шпанији, идентификован трагови хаковања инфраструктуре и инсталирање малвера за скривено рударење криптовалуте Монеро (КСМР). Детаљна анализа инцидената још није доступна, али према прелиминарним подацима, системи су компромитовани као резултат крађе акредитива из система истраживача који су имали приступ да извршавају задатке у кластерима (недавно многи кластери омогућавају приступ независни истраживачи који проучавају САРС-ЦоВ-2 коронавирус и спроводе моделирање процеса повезаног са инфекцијом ЦОВИД-19). Након што су у једном од случајева добили приступ кластеру, нападачи су искористили рањивост ЦВЕ-КСНУМКС-КСНУМКС у Линук кернелу да добијете роот приступ и инсталирате рооткит.

Истиче два инцидента у којима су нападачи користили акредитиве преузете од корисника са Универзитета у Кракову (Пољска), Шангајског транспортног универзитета (Кина) и Кинеске научне мреже. Акредитиви су преузети од учесника у међународним истраживачким програмима и коришћени за повезивање са кластерима преко ССХ. Још није јасно како су тачно акредитиви ухваћени, али на неким системима (не на свим) од жртава цурења лозинке, идентификоване су лажне ССХ извршне датотеке.

Као резултат тога, нападачи су могли да добити приступ кластеру са седиштем у Великој Британији (Универзитет у Единбургу). стрелац, на 334. месту у Топ 500 највећих суперкомпјутера. Следећи слични продори су били идентификован у кластерима бвУниЦлустер 2.0 (Технолошки институт Карлсруе, Немачка), ФорХЛР ИИ (Технолошки институт Карлсруе, Немачка), бвФорЦлустер ЈУСТУС (Универзитет Улм, Немачка), бвФорЦлустер БинАЦ (Универзитет у Тибингену, Немачка) и Хавк (Универзитет у Штутгару) Немачка).
Информације о безбедносним инцидентима кластера у Национални суперкомпјутерски центар Швајцарске (ЦСЦС), Истраживачки центар Јулицх (КСНУМКС место у топ 500), Универзитет у Минхену (Немачка) и Лајбниц компјутерски центар (9, 85 и 86 места у Топ 500). Поред тога, од запослених примљен информација о компромитовању инфраструктуре Рачунског центра високих перформанси у Барселони (Шпанија) још увек није званично потврђена.

Анализа Промене
показао, да су две злонамерне извршне датотеке преузете на компромитоване сервере, за које је постављена суид роот заставица: “/етц/фонтс/.фонтс” и “/етц/фонтс/.лов”. Први је покретач за покретање команди љуске са роот привилегијама, а други је чистач дневника за уклањање трагова активности нападача. Коришћене су различите технике да би се сакриле злонамерне компоненте, укључујући инсталирање руткита. диаморфин, учитан као модул за Линук кернел. У једном случају, процес рударења је започет само ноћу, да не би привукао пажњу.

Једном хакован, хост се може користити за обављање различитих задатака, као што је рударење Монеро (КСМР), покретање проксија (за комуникацију са другим рударским домаћинима и сервером који координира рударење), покретање СОЦКС проксија заснованог на мицроСОЦКС-у (за прихватање екстерног везе преко ССХ) и ССХ прослеђивање (примарна тачка продора помоћу компромитованог налога на коме је конфигурисан преводилац адреса за прослеђивање на интерну мрежу). Када су се повезивали са компромитованим хостовима, нападачи су користили хостове са СОЦКС проксијима и обично се повезивали преко Тор-а или других компромитованих система.

Извор: опеннет.ру