Araştırmacılar, Jupyter Notebook’u ve çeşitli kötü amaçlı yazılımları kullanarak, kripto madencilik ve bulut güvenliğine yönelik ikili bir girişimde bulunan Tunuslu bir bilgisayar korsanını keşfettiler. Olay, gelişmiş üretkenlik araçlarının hızla benimsenmesiyle birlikte bulut güvenliğine öncelik verilmesinin devam eden ihtiyacına işaret ediyor.
Jupyter Notebook, not defteri belgeleri oluşturmaya yönelik açık kaynaklı, Web tabanlı, etkileşimli, hesaplamalı bir ortamdır. Esnek arayüzü, kullanıcıların veri bilimi, bilimsel hesaplama, hesaplamalı gazetecilik ve makine öğrenimi alanlarında iş akışlarını yapılandırmasına ve düzenlemesine olanak tanır.
Ayak izi açısından hem Amazon Web Services hem de Google Cloud, kullanıcıların bunu yönetilen bir hizmet olarak çalıştırmasına olanak tanır veya kullanıcılar bunu standart bir sanal makine örneği üzerinden çalıştırabilir. Microsoft Azure Cosmos DB ayrıca Cosmos DB Jupyter Notebook özelliğine de sahiptir.
11 Ekim’de yayınlanan bir blog yazısında Cado Security, saldırganların Jupyter’i bir bal küpü bulut ortamına ilk erişim noktası olarak nasıl kolayca kullandıklarını ve ardından yerleşik bir kripto madenci, rootkit ve hasat etme becerisine sahip özel bir kötü amaçlı yazılım dağıttıklarını gösterdi. hassas bulut kimlik bilgileri.
Cado Security’de tehdit istihbaratı araştırmacısı Matt Muir, “Bunun gibi hizmetleri dağıtıyorsanız, bunların etrafındaki güvenlik mekanizmalarını anladığınızdan ve kimlik doğrulamayı etkinleştirdiğinizden emin olun” tavsiyesinde bulunuyor.
Bulut Uzlaşmasının Profili
Jupyter’deki temel sorun bir güvenlik açığı değil, hizmetin kendisinin doğasıdır; kullanıcıların son derece özelleştirilebilir ve modüler bir ortamda kod paylaşma ve çalıştırma eğiliminde olduğu açık, işbirliğine dayalı bir platform.
“Jupyter Not Defterlerini kullanmanın en çekici yanı, küçük kod parçacıklarının prototipini yapmak veya belirli algoritmaların hafif versiyonlarını çalıştırmaktır. İnsanlar bunları örneğin akademik bir ortamda açığa çıkarabilir; eğer bir öğretim görevlisi öğrencilerin çalıştırabilmelerini isterse Muir, belirli bir algoritmayı öğrencilerin herhangi bir yerden bağlantı kurmasına olanak sağlamak için kamuya açık hale getirebilirler, diye açıklıyor. Ya da şunu ekliyor: “Bunlar yanlışlıkla açığa çıkmış olabilir; dürüst olmak gerekirse, bunu daha sık görüyoruz.”
Bu açığa çıkan örneklerden birinin tehlikeye atılmasının ne kadar kolay olduğunu gösteren bir örnek olarak, Eylül ayında, Tunus’taki bir IP’den yukarıda adı geçen bilgisayar korsanı, yarım düzine temel komut kullanarak Cado’nun bulut balküpünü 195 saniyede ele geçirmeyi başardı.
Bilgisayar korsanı daha sonra erişimlerini “mi.sh” adlı bir kabuk komut dosyasını indirip yürütmek için kullandı.
Kabuk Komut Dosyası Bir Bulut Saldırganının Verebileceği Hasarı Gösteriyor
mi.sh, birbirine bantlanmış açık kaynaklı araçlardan oluşan çok işlevli bir silahtır. Muir’in açıkladığı gibi, “bulut yerel kampanyalarında gördüğümüz diğer kötü amaçlı yazılım örnekleriyle pek çok benzerlik taşıyor, ancak bu oldukça yaygın bir şey. Oldukça fazla sayıda bulut tehdit aktörü birbirlerinden kod çalacak ya da çevrimiçi depolarda buldukları kod parçacıklarını ödünç al.”
Mi.sh, toplamda kalıcılık oluşturmak, daha fazla ana bilgisayara yayılmak ve kimlik bilgilerini toplamak için araçlar içerir. açık kaynak Linux çekirdeği rootkit’i “Diamorphine” ve XMRig kripto madencisi. Bu örnekteki bilgisayar korsanı, bunu yem AWS belirteçlerini çalmak için kullandı ve daha sonra bunları yetkisiz kimlik doğrulama için kullanmaya çalıştı.
Jüpyter Defterlerini Kilitleyin
Muir, bunun gibi zarar verici bir saldırıyı durdurmanın ilk erişim noktasıyla başladığını söylüyor.
“Bu oldukça sık rapor ettiğimiz bir şey: Bu tür kampanyalar için ana ilk erişim vektörü neredeyse her zaman savunmasız bir hizmetin bir tür güvensiz dağıtımıdır. Bu durumda Jupyter Notebook’du. Geçmişte bazı şeyler gördük. Redis’in güvensiz bir şekilde konuşlandırılması gibi ve oradan başka kaynaklara yönelebilirler” diyor.
Duvarlarını güçlendirmek isteyen şirketler öncelikle iki yere bakabilirler. Muir, “Hizmetin kendisinde yerleşik bir kimlik doğrulama var” diyor ve ekliyor: “Ayrıca, genel internetteki herkesin değil, yalnızca yetkili IP adreslerinin dizüstü bilgisayarla iletişim kurabilmesini sağlamak için temel güvenlik duvarı gibi ağ düzeyinde koruma da var.”