Los servidores de bases de datos Redis mal configurados son el objetivo de una nueva campaña de cryptojacking que aprovecha un servicio de transferencia de archivos de línea de comandos legítimo y de código abierto para implementar su ataque.
«Apuntalar esta campaña fue el uso de la transferencia[.]sh,» Cado Seguridad dicho en un informe compartido con The Hacker News. «Es posible que sea un intento de evadir las detecciones basadas en otros dominios de alojamiento de código comunes (como pastebin[.]com)».
La firma de ciberseguridad en la nube dijo que la interactividad de la línea de comando asociada con la transferencia[.]sh lo ha convertido en una herramienta ideal para alojar y entregar cargas útiles maliciosas.
La cadena de ataque comienza apuntando a implementaciones inseguras de Redis, seguido por el registro de un trabajo cron eso conduce a la ejecución de código arbitrario cuando el programador lo analiza. El trabajo está diseñado para recuperar una carga útil alojada en la transferencia[.]sh.
Vale la pena señalar que similar mecanismos de ataque han sido empleados por otros actores de amenazas como TeamTNT y WatchDog en sus operaciones de cryptojacking.
La carga útil es una secuencia de comandos que allana el camino para un minero de criptomonedas XMRig, pero no sin antes tomar medidas preparatorias para liberar memoria, terminar con los mineros de la competencia e instalar una utilidad de escáner de red llamada pnscan para encontrar servidores Redis vulnerables y propagar la infección.
«Aunque está claro que el objetivo de esta campaña es secuestrar los recursos del sistema para extraer criptomonedas, la infección por este malware podría tener efectos no deseados», dijo la compañía. «La configuración imprudente de los sistemas de administración de memoria de Linux podría fácilmente resultar en la corrupción de datos o la pérdida de disponibilidad del sistema».
El desarrollo lo convierte en la última amenaza que afecta a los servidores de Redis después de Redigo y HeadCrab en los últimos meses.
Los hallazgos también vienen como Avertium revelado un nuevo conjunto de ataques en los que los servidores SSH utilizan la fuerza bruta para implementar el malware de botnet XorDdos en servidores comprometidos con el objetivo de lanzar ataques de denegación de servicio distribuido (DDoS) contra objetivos ubicados en China y EE. UU.
La compañía de ciberseguridad dijo que observó 1,2 millones de intentos de conexión SSH no autorizados en 18 honeypots entre el 6 de octubre de 2022 y el 7 de diciembre de 2022. Atribuyó la actividad a un actor de amenazas con sede en China.
El 42 % de esos intentos se originaron en 49 direcciones IP asignadas a ChinaNet Jiangsu Province Network, y el resto se originó en 8000 direcciones IP repartidas por todo el mundo.
«Se descubrió que una vez que el escaneo identificaba un puerto abierto, estaría sujeto a un ataque de fuerza bruta contra la cuenta ‘raíz’ usando una lista de aproximadamente 17,000 contraseñas», dijo Avertium. «Una vez que el ataque de fuerza bruta tuvo éxito, se instaló un bot XorDDoS».