Нов SSH бот е засечен тихо да влиза в Linux системи, да анализира техния процесор, графичен ускорител и памет, след което да се оттегля, без да оставя видим зловреден код.
На пръв поглед поведението изглежда безобидно, но всички индикации сочат към внимателно подготвена дейност за копаене на криптовалута, изчакваща подходяща хардуерна цел.
Вместо да бърза да инсталира зловреден софтуер, този бот отделя време, за да прецени дали компрометираният хост е достатъчно мощен, за да си струва копаенето на него.
Активността е разкрита, когато honeypot (примамка) на DShield регистрира автоматизирано влизане, което се държи много по-различно от обичайните шумни опити за отгатване на пароли и едноредови скриптове за зареждане.
В рамките на една сесия ботът влиза като root потребител, изпълнява само две команди, профилира хоста, тества за ескалация на привилегии и прекъсва връзката за секунди.
Анализатори от Internet Storm Center отбелязват, че тази сесия „само за разузнаване“ изобщо не доставя софтуер за копаене, което прави самото проучване най-интересната част от атаката.
Според доклада, SSH ботът се е свързал от един IP адрес, удостоверил се е с помощта на слаба root парола и се е идентифицирал с Go-базиран SSH клиент вместо стандартен терминал.
От Internet Storm Center заявяват в доклад, споделен с Cyber Security News (CSN), че цялото взаимодействие е продължило около осем секунди, без да остави след себе си изпълним файл, механизъм за поддържане на присъствие или очевиден втори етап, който защитниците да анализират.
Този модел се вписва в по-широка тенденция, при която атакуващите преминават отвъд принципа „заразявай всичко, до което имаш достъп“ и вместо това настройват кампаниите си така, че да максимизират възвръщаемостта на изчислителните ресурси.
Подобно поведение е наблюдавано и в други кампании, които компрометират Linux сървъри и облачни среди за копаене на Monero, често след получаване на достъп чрез слаби SSH идентификационни данни или неправилно конфигурирани услуги.
Читателите, които искат да проучат свързаните заплахи, могат да прегледат как атакуващите използват повторно слаби SSH идентификационни данни за копаене на Monero.
SSH ботът проучва процесора, видеокартата и оперативната памет на Linux
След като ботът попадне на хост, той не изтегля веднага софтуер за копаене; вместо това той стартира хардуерно проучване, за да оцени възможностите на машината.
Скриптът събира информация за операционната система и версията на ядрото, архитектурата на процесора, броя на ядрата и подробни данни за модела на процесора, след което маркира всяка стойност с етикети като UNAME, ARCH, CPUS, CPU_MODEL, GPU и LAST.
Този структуриран изход е точно това, което автоматизиран контролер би използвал по-късно, за да филтрира слаботелесни устройства и да се съсредоточи върху най-печелившите цели.
Ботът също така изпълнява lspci, за да търси външна графична карта, като изрично проверява за NVIDIA GPU, което би могло да ускори процеса на копаене.
В допълнение, той измерва времето на работа на системата (uptime) и извлича историята на последните влизания, давайки на оператора представа за това колко стабилен и активно използван е хостът, преди да изпрати по-тежък злонамерен код.
Читателите, интересуващи се от по-широкото поведение при копаене на криптовалута под Linux, могат да сравнят тази тактика с кампании, които използват PAM за скриване на софтуер за копаене, където атакуващите преминават директно от достъп към скрито копаене.
Втората команда се фокусира върху паметта и привилегиите. Ботът чете /proc/meminfo, проверява дали общата оперативна памет надхвърля приблизително 1 GB и пренасочва този тест през sudo, използвайки същата парола, която току-що е използвал за root, като по този начин ефективно проучва дали може да ескалира правата си без подкана за парола.
Преброяването на процесорните ядра, инспектирането на модела на процесора, търсенето на NVIDIA графични процесори и налагането на минимален праг за оперативна памет е класическо сортиране за целите на копаене на криптовалута, а не подготовка за атака за отказ от услуга (DoS) или обикновено любопитство.
Анализаторите от Internet Storm Center подчертават, че липсата на злонамерен код при първата сесия не означава, че не предстои атака.
Вместо това моделът „първо разузнаване“ позволява на операторите да оценят хоста сега и да се върнат по-късно с персонализиран софтуер за копаене или да прехвърлят целта на друг инструмент, ако хардуерът покрива техните критерии.
Подобен модел се появява и в други кампании, при които атакуващите компрометират Linux среди по целия свят за копаене на криптовалута, отново след груба сила срещу SSH или експлоатиране на публично достъпни услуги.
Оригиналният доклад показва съкратен изглед на сесията за разузнаване – от влизането през хардуерната инвентаризация и теста за привилегии до чистото излизане.
Това е моделът „първо разузнаване“, при който атакуващият оценява потенциалните жертви, решава дали си струва да внедри софтуер за копаене и едва тогава преминава към втория етап с инжектиран код.
Защо сесиите по SSH само за разузнаване са важни
Операторът на honeypot-а отбелязва, че друга, отделна SSH кампания е насочена към същия сензор по-рано през месеца, използвайки верига за зареждане, която е изтеглила ELF изпълним файл и се е присъединила към ботнет за атаки за отказ на достъп.
Тази кампания е ротирала различни IP адреси и командни сървъри, но нейният HASSH отпечатък е останал постоянен, което улеснява групирането на тези сесии.
За разлика от нея, ботът за разузнаване, ориентиран към копаене, се е представил с различен клиент и HASSH, което показва различен злонамерен субект и потвърждава как клиентските отпечатъци помагат на защитниците да разделят застъпващи се кампании.
Тази разлика подчертава важен урок за защитата: сесиите, които никога не записват файлове, все пак могат да представляват първата половина на сериозно компрометиране.