50.000 servidores MS-SQL y PHPMyAdmin con un rootkit de Cryptojacking
Investigadores del Guardicore Labs publicaron el pasado 29 de mayo un amplio informe detallando una campaña de Cryptojacking que atacaba a servidores MS-SQL (Windows) y PHPMyAdmin. Esta campaña fue seguida por Guardicore Labs en los meses de abril y mayo.
Esta campaña maliciosa ha sido bautizada como Nansh0u, una campaña realizada por cibercriminales chinos que consiguieron infectar cerca de 50.000 servidores. Una vez que los servidores eran comprometidos, se infectaron con payloads maliciosos y éstos a su vez, utilizaron un crypto-miner e instalaron un sofisticado rootkit de modo kernel para evitar de esta manera que el malware finalice y asegurando una persistencia en el equipo infectado.
Nansh0u lo que utiliza son técnicas que se ven a menudo en APTs, como certificados falsos y explotaciones de escalada de privilegios. El problema reside que para ataques de este tipo, existe un gran arsenal de herramientas que pueden caer en malas manos y provocar daños mayores.
A principios de abril, Guardicore detectó y se centró en tres ataques de los que encontró que tenían una IP ubicada en Sudáfrica . Una vez visto esto, siguieron buscando y encontraron nuevas campañas datadas en febrero, elevando el número de payloads maliciosos detectados a 20. Este es el timeline de la campaña.
Este timeline, combinado con un conjunto de 5 ataques y 6 conexiones inversas a los distintos servidores ya mencionados, sugieren que este proceso ha sido establecido por un proceso de desarrollo continuo el cual fue debidamente pensado por los cibercriminales.
Gracias a esta investigación, Guardicore demuestra el crecimiento exponencial del número de infecciones, llegando al doble de infecciones en tan sólo un mes.
Cada ataque realizado comenzó con una serie de intentos de autenticación con ataques de fuerza bruta a servidores MS-SQL, llegando a obtener acceso a cuentas con privilegios de administrador. Esto es ocasionado por una mala política de contraseña. permitiendo contraseñas por defecto o débiles.
El ataque se basa en un simple escáner de puertos y después de una autenticación de inicio de sesión exitosa con privilegios administrativos, los atacantes ejecutan una secuencia de comandos de MS-SQL en el sistema comprometido para descargar la carga útil malintencionada desde un servidor de archivos remoto y ejecutarlo con privilegios de sistema.
Tras obtener acceso, se ejecutaron una serie de comandos MS-SQL que permitían, entre otras cosas, configurar los ajustes de los servidores, crear un script Visual-Basic en c:\ProgramData\1.vbs, ejecutar este script y descargar dos archivos via HTTP y finalmente correr ambos archivos. La carga útil instala un malware de minado de criptomoneda y también protege su proceso de finalización mediante el uso de un rootkit en modo de kernel firmado digitalmente por Verisign, según comentan los investigadores: "descubrimos una firma digital emitida por la autoridad de certificación Verisign. El certificado, que está vencido, lleva el nombre de una empresa china falsa: Hanhzhou Hootian Network Technology".
Los investigadores también elaboraron una lista completa de IoCs que publicaron en su Github y un script en Powershell que también hicieron público.
Como toda esta campaña comienza con una serie de intentos de accesos combinando usuarios y contraseñas por defecto o débiles para posteriormente proceder-como se ha comentado- a la infección de los distintos servidores.
Fuente: Hispasec
Nansh0u lo que utiliza son técnicas que se ven a menudo en APTs, como certificados falsos y explotaciones de escalada de privilegios. El problema reside que para ataques de este tipo, existe un gran arsenal de herramientas que pueden caer en malas manos y provocar daños mayores.
A principios de abril, Guardicore detectó y se centró en tres ataques de los que encontró que tenían una IP ubicada en Sudáfrica . Una vez visto esto, siguieron buscando y encontraron nuevas campañas datadas en febrero, elevando el número de payloads maliciosos detectados a 20. Este es el timeline de la campaña.
Gracias a esta investigación, Guardicore demuestra el crecimiento exponencial del número de infecciones, llegando al doble de infecciones en tan sólo un mes.
Cada ataque realizado comenzó con una serie de intentos de autenticación con ataques de fuerza bruta a servidores MS-SQL, llegando a obtener acceso a cuentas con privilegios de administrador. Esto es ocasionado por una mala política de contraseña. permitiendo contraseñas por defecto o débiles.
El ataque se basa en un simple escáner de puertos y después de una autenticación de inicio de sesión exitosa con privilegios administrativos, los atacantes ejecutan una secuencia de comandos de MS-SQL en el sistema comprometido para descargar la carga útil malintencionada desde un servidor de archivos remoto y ejecutarlo con privilegios de sistema.
Tras obtener acceso, se ejecutaron una serie de comandos MS-SQL que permitían, entre otras cosas, configurar los ajustes de los servidores, crear un script Visual-Basic en c:\ProgramData\1.vbs, ejecutar este script y descargar dos archivos via HTTP y finalmente correr ambos archivos. La carga útil instala un malware de minado de criptomoneda y también protege su proceso de finalización mediante el uso de un rootkit en modo de kernel firmado digitalmente por Verisign, según comentan los investigadores: "descubrimos una firma digital emitida por la autoridad de certificación Verisign. El certificado, que está vencido, lleva el nombre de una empresa china falsa: Hanhzhou Hootian Network Technology".
Los investigadores también elaboraron una lista completa de IoCs que publicaron en su Github y un script en Powershell que también hicieron público.
Como toda esta campaña comienza con una serie de intentos de accesos combinando usuarios y contraseñas por defecto o débiles para posteriormente proceder-como se ha comentado- a la infección de los distintos servidores.
Fuente: Hispasec
0 Comments:
Publicar un comentario
Gracias por dejar un comentario en Segu-Info.
Gracias por comentar!