Исследователи из компании Checkpoint выявили вредоносное ПО RubyMiner, которое поражает незащищённые серверы Linux и Windows, и запускает код для майнинга криптовалют. Для распространения RubyMiner атакует достаточно старые критические уязвимости в PHP, Ruby on Rails и ASP, устранённые в 2012, 2013 и 2005 годах. По предварительной оценке экcплуатация данных уязвимостей позволила поразить около 700 серверов, которые, как правило, давно оставлены без присмотра, что позволяет длительное время использовать их ресурсы для майнинга.

Для определения уязвимых серверов применяется сканирование сети при помощи утилиты p0f. При обнаружении очередного уязвимого сервера к нему применяется один из шести эксплоитов, после чего в случае атаки на Linux-сервер RubyMiner добавляет в cron задание для периодической загрузки с внешнего сервера скрипта для осуществления вредоносных действий. Примечательно, что для скрытия своего присутствия скрипт загружается в файл robots.txt. После активации скрипт, в свою очередь, загружает и устанавливает модифицированную версию штатного приложения XMRig для майнинга криптовалюты Monero.

Также можно отметить вредоносное ПО PyCryptoMiner, нацеленное на проникновение через эксплуатацию выявленной в прошлом году уязвимости в сервере приложений JBoss или через подбор типовых паролей к SSH. PyCryptoMiner написан на языке Python, использует сервис Pastebin.com для передачи управляющих команд и включает бинарные компоненты для майнинга криптовалюты Monero, основанные на xmrMiner. По данным исследователей, построенный при помощи PyCryptoMiner ботнет уже заработал 158 Monero, что соответствует примерно 45 тысячам долларов (неделю назад, в пик роста курса было 80 тысяч долларов).

Дополнение: Китайскими исследователями из компании Netlab 360 обнаружен вариант вредоносного ПО Satori, адаптированный для атак на системы майнинга криптовалют. Satori атакует некорректно настроенное ПО Claymore Miner (по умолчанию принимает запросы на сетевом порту 3333 без аутентификации по паролю), часто используемое в фермах майнинга, и в случае успешной атаки заменяет номера кошельков, на которых накапливаются доходы от майнинга. На одном из указываемых злоумышленниками кошельков уже накопилось более 1 Ethereum (более 1000 долларов). Судя по динамике пополнения кошелька атакующие обладают ресурсами для перебора примерно 2100 млн хэшей в секунду, что эквивалентно 85 компьютерам с графической картой Radeon Rx 480 или 1135 компьютерам с картой GeForce GTX 560M.

 

www.opennet.ru