Um botnet Monero miner baseado em Linux, que foi dublado PyCryptoMiner foi descoberto por pesquisadores de segurança. O botnet que é baseado em um minerador de criptomoedas ganhou cibercriminosos pelo menos 158 Monero que equivale a $63,000.
PyCryptoMiner foi escrito em Python, o que tornou possível para os operadores do botnet mantê-lo sob o radar.
“Ao contrário de uma alternativa de malware binário, um malware baseado em linguagem de script é mais evasivo por natureza, pois pode ser facilmente ofuscado. Também é executado por um binário legítimo, que poderia ser um dos interpretadores PERL / Python / Bash / Go / PowerShell enviados com quase todas as distribuições Linux / Windows,”Pesquisadores da F5 Networks disseram em seu relatório.
Detalhes técnicos do PyCryptoMiner
Quem quer que esteja operando este botnet também está usando ataques de força bruta visando sistemas Linux com portas SSH expostas. Caso a senha seja descoberta, os cibercriminosos implantam scripts Python e instalam o malware Monero miner.
Os pesquisadores também acreditam que os cibercriminosos também estão usando um exploit para o servidor JBoss em sua campanha, que foi identificado como CVE-2017-12149. Contudo, a implantação de força bruta e a exploração de SSH também fazem parte do arsenal de ataque dos cibercriminosos.
O que é interessante é que o PyCryptoMiner botnet não tem endereços codificados de seus servidores de comando e controle, pois os recebe de postagens do Pastebin. O botnet também é capaz de atuar como um nó de varredura, o que significa que varre a Internet em busca de máquinas Linux com portas SSH abertas, e tenta adivinhar os logins SSH. Em caso de sucesso, o malware usa um script Python simples codificado em base64 que se conecta ao servidor de comando e controle para executar mais código Python, disseram pesquisadores. O próprio script está posicionado no bot do controlador principal e é capaz das seguintes atividades:
- Tornar-se persistente na máquina comprometida, registrando-se como um cron job ( um agendador de tarefas baseado em tempo em sistemas operacionais de computador semelhantes ao Unix);
- Coletar detalhes sobre a máquina comprometida, como informações sobre o número de CPUs.
- As informações coletadas são normalmente enviadas para o servidor de comando e controle.
Atividade do botnet PyCryptoMiner
Pelo visto, o botnet está atualmente inativo, como seus servidores estão offline. Não obstante, isso não significa que não será reativado em novas campanhas maliciosas e de mineração de criptografia. Se o operador do botnet atualizar as postagens do Pastebin para apontar para um novo servidor de comando e controle, então o botnet pode ser rapidamente colocado online novamente.
Como já mencionado, a rede de bots também é projetada para explorar possibilidades de exploração em potencial de CVE-2017-12149, uma vulnerabilidade divulgada recentemente. Isso significa que os servidores JBoss vulneráveis podem ser o próximo alvo do PyCryptoMiner.
Milena Dimitrova
Um escritor inspirado e gerente de conteúdo que está com SensorsTechForum desde o início do projeto. Um profissional com 10+ anos de experiência na criação de conteúdo envolvente. Focada na privacidade do usuário e desenvolvimento de malware, ela acredita fortemente em um mundo onde a segurança cibernética desempenha um papel central. Se o senso comum não faz sentido, ela vai estar lá para tomar notas. Essas notas podem mais tarde se transformar em artigos! Siga Milena @Milenyim
Me siga:
Isso dificilmente é um malware. Se você tiver acesso à máquina, você pode fazer muitas coisas além de apenas executar um script de mineração.
Olá, sim, mas tudo depende de quem o configurou. Alguns autores de malware costumam ter como objetivo incorporar mineradores legítimos em aplicativos de malware e adicionar outros “coisas” que o malware faz. Estas são funções, que ajudam na propagação e na autoatualização, copie-se e permaneça ofuscado.
Conforme afirmado no artigo, o mineiro faz parte de uma extensa Pitão isso é modular por natureza. Como consequência, os operadores de hackers podem executar uma variedade de comportamentos de malware.
Devido ao recente aumento de mineiros, é importante para nós acompanhar todos os eventos atuais.