Pirates cybernétiques ciblent les serveurs : l’exploitation des crypto-monnaies atteint un niveau critique

Les attaques de pirates contre les infrastructures crypto s'intensifient - et personne ne semble capable de les arrêter.

Les serveurs dans le collimateur

Une nouvelle vague d'attaques sophistiquées vise spécifiquement les plateformes d'échange et les fermes de minage. Méthodes : injections SQL, zero-day exploits et bon vieux phishing. Résultat ? Des millions en crypto détournés pendant que les 'experts' en sécurité jouent aux rattrapages.

Le jackpot numérique

Bitcoin, Ethereum, Solana - aucune blockchain n'est épargnée. Les hackers perfectionnent leurs techniques plus vite que les échanges ne peuvent mettre à jour leurs firewalls. Ironie suprême : ces vols prouvent que les cryptos valent bien quelque chose - contrairement à certains stablecoins.

La course sécuritaire

Les plateformes promettent des 'mesures renforcées' depuis des années. Pourtant, les piratages battent des records chaque trimestre. Un conseil : si votre exchange vante sa 'nouvelle architecture inviolable', sortez vos jetons avant la prochaine mise à jour.

Les pirates armement au JDWP exposé pour mener des activités minières

Les chercheurs ont observé l'activité contre leurs serveurs de pot de miel exécutant TeamCity, un outil populaire d'intégration continue et de livraison continue (CI / CD). JDWP est un protocole de communication utilisé dans Java pour le débogage. Avec le protocole, le débogueur peut être utilisé pour travailler sur différents processus, une application Java sur le même ordinateur ou un ordinateur distant.

Cependant, en raison du fait que JDWP n'a pas de mécanisme de contrôle d'accès, l'exposer à Internet peut ouvrir de nouveaux vecteurs d'attaque que les pirates peuvent abuser comme point d'entrée pour permettre un contrôle total sur le processus Java en cours d'exécution. Pour le simplifier, la mauvaise configuration peut être utilisée pour injecter et exécuter des commandes arbitraires afin de configurer la persistance et finalement d'exécuter des charges utiles malveillantes.

"Bien que JDWP ne soit pas activé par défaut dans la plupart des applications Java, il est couramment utilisé dans les environnements de développement et de débogage", ont déclaré les chercheurs. «De nombreuses applications populaires AutomaticAlly lancent un serveur JDWP lorsqu'il est exécuté en mode de débogage, souvent sans rendre les risques évidents pour le développeur. S'il est incorrectement sécurisé ou laissé exposé, cela peut ouvrir la porte aux vulnérabilités d'exécution du code distant (RCE).»

Certaines des applications qui peuvent lancer un serveur JDWP en mode de débogage incluent TeamCity, Apache Tomcat, Spring Boot, Elasticsearch, Jenkins et autres. Les données de Greynoise ont montré que plus de 2 600 adresses ip ont été scannées pour les critères d'évaluation JDWP au cours des dernières 24 heures, dont 1 500 adresses IP sont malveillantes et 1 100 sont classées comme suspectes. Le rapport a mentionné que la plupart de ces adresses IP provenaient de Hong Kong, d'Allemagne, des États-Unis, de Singapour et de Chine.

Les chercheurs détaillent comment les attaques sont menées

Dans les attaques observées par les chercheurs, les pirates profitent du fait que la machine virtuelle Java (JVM) écoute les connexions de débogueur sur le port 5005 pour initier la numérisation des ports JDWP ouverts sur Internet. Après cela, une demande JDWP-HandShake est envoyée pour confirmer si l'interface est active. Une fois qu'il confirme que le service est exposé et interactif, les pirates se déplacent pour exécuter une commande pour récupérer, effectuant un script de coquille de gouttes qui devrait effectuer une série d'actions.

Ces séries d'actions incluent la mort de tous les mineurs concurrents ou tout processus de CPU élevé sur le système, abandonnant une version modifiée du mineur pour l'architecture système appropriée à partir d'un serveur externe («Awarmcorner [.] World») dans «~ / .Config / Logrotate»), en établissant la persistance en définissant les travaux de cron Intervalle de temps, et supprimez-le à la sortie.

"En tant que open-source, XMRIG offre aux attaquants la commodité d'une personnalisation facile, ce qui a consisté dans ce cas à éliminer toutes les logiques d'analyse de la ligne de commande et de codage en dur la configuration", ont déclaré les chercheurs. «Ce réglage simplifie non seulement le déploiement, mais permet également à la charge utile d'imiter le processus logrotate d'origine de manière plus convaincante.»

Cette divulgation intervient alors que NSFOCUS a noté qu'un nouveau logiciel malveillant en évolution de GO nommé HpingBot qui ciblait à la fois Windows et Linux peut lancer une attaque de déni de service distribuée (DDOS) en utilisant Hping3.

Cryptopolitan Academy: fatiguée des balançoires du marché? Découvrez comment DeFi peut vous aider à créer un revenu passif stable. Inscrivez-vous maintenant