Un actor de amenazas, presumiblemente de T\u00fanez, ha sido vinculado a una nueva campa\u00f1a dirigida a los Jupyter Notebooks expuestos en un doble intento de extraer criptomonedas il\u00edcitamente y violar entornos de nube.<\/p>\n
Apodado ataque qubit<\/strong> Por Cado, el conjunto de intrusi\u00f3n utiliza la API de Telegram para filtrar las credenciales del proveedor de servicios en la nube luego de un compromiso exitoso.<\/p>\n “Todas las cargas \u00fatiles para la campa\u00f1a Qubitstrike est\u00e1n alojadas en codeberg.org, una plataforma de alojamiento Git alternativa, que proporciona gran parte de la misma funcionalidad que GitHub”, dijeron los investigadores de seguridad Matt Muir y Nate Bill. dicho<\/a> en un art\u00edculo del mi\u00e9rcoles.<\/p>\n En la cadena de ataque documentada por la empresa de seguridad en la nube, se violan instancias de Jupyter de acceso p\u00fablico para ejecutar comandos para recuperar un script de shell (mi.sh) alojado en Codeberg.<\/p>\n El script de shell, que act\u00faa como carga \u00fatil principal, es responsable de ejecutar un minero de criptomonedas, establecer la persistencia mediante un trabajo cron, insertar una clave controlada por el atacante en el archivo .ssh\/authorized_keys para acceso remoto y propagar el malware a otros hosts a trav\u00e9s de SSH.<\/p>\n El malware tambi\u00e9n es capaz de recuperar e instalar el rootkit Dimorphine para ocultar procesos maliciosos, as\u00ed como transmitir las credenciales capturadas de Amazon Web Services (AWS) y Google Cloud al atacante a trav\u00e9s de la API del bot de Telegram.<\/p>\n Un aspecto digno de menci\u00f3n de los ataques es el cambio de nombre de utilidades leg\u00edtimas de transferencia de datos, como curl y wget, en un probable intento de evadir la detecci\u00f3n y evitar que otros usuarios del sistema utilicen las herramientas.<\/p>\n “mi.sh tambi\u00e9n iterar\u00e1 a trav\u00e9s de una lista codificada de nombres de procesos e intentar\u00e1 eliminar los procesos asociados”, dijeron los investigadores. “Es probable que esto frustre cualquier operaci\u00f3n minera de competidores que previamente hayan comprometido el sistema”.<\/p>\n El script de shell est\u00e1 dise\u00f1ado adem\u00e1s para aprovechar el comando netstat y una lista codificada de pares de IP\/puerto, previamente asociados con campa\u00f1as de criptojacking, para eliminar cualquier conexi\u00f3n de red existente a esas direcciones IP.<\/p>\n Tambi\u00e9n se han tomado medidas para eliminar varios archivos de registro de Linux (por ejemplo, \/var\/log\/secure y \/var\/log\/wtmp), en lo que es otra se\u00f1al de que los actores de Qubitstrike buscan pasar desapercibidos.<\/p>\n Los or\u00edgenes exactos del actor de la amenaza a\u00fan no est\u00e1n claros, aunque la evidencia apunta a que probablemente sea T\u00fanez debido a la direcci\u00f3n IP utilizada para iniciar sesi\u00f3n en el honeypot en la nube utilizando las credenciales robadas.<\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/10\/Qubitstrike-apunta-a-los-portatiles-Jupyter-con-una-campana-de.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n