Les instances PostgreSQL expos\u00e9es sont la cible d’une campagne en cours con\u00e7ue pour obtenir un acc\u00e8s non autoris\u00e9 et d\u00e9ployer des mineurs de crypto-monnaie.<\/p>\n
La soci\u00e9t\u00e9 de s\u00e9curit\u00e9 de cloud Wiz a d\u00e9clar\u00e9 que l’activit\u00e9 est une variante d’un ensemble d’intrusion qui a d’abord \u00e9t\u00e9 signal\u00e9e par Aqua Security en ao\u00fbt 2024 qui impliquait l’utilisation d’une souche malveillante surnomm\u00e9e PG_MEM. La campagne a \u00e9t\u00e9 attribu\u00e9e \u00e0 un acteur de menace, Wiz, les pistes Jinx-0126.<\/p>\n
“L’acteur de menace a depuis \u00e9volu\u00e9, mettant en \u0153uvre des techniques d’\u00e9vasion de d\u00e9fense telles que le d\u00e9ploiement de binaires avec un hachage unique par cible et l’ex\u00e9cution de la charge utile de mineur – susceptible d’\u00e9chapper \u00e0 la d\u00e9tection par [cloud workload protection platform] Solutions qui reposent uniquement sur la r\u00e9putation du hachage de dos dit<\/a>.<\/p>\n Wiz a \u00e9galement r\u00e9v\u00e9l\u00e9 que la campagne a probablement r\u00e9clam\u00e9 plus de 1 500 victimes \u00e0 ce jour, ce qui indique que des instances postgresql expos\u00e9es publiquement avec des r\u00e9f\u00e9rences faibles ou pr\u00e9visibles sont suffisamment r\u00e9pandues pour devenir une cible d’attaque pour les acteurs de menace opportuniste.<\/p>\n L’aspect le plus distinctif de la campagne est l’abus de la copie … de la commande SQL du programme pour ex\u00e9cuter des commandes de shell arbitraires sur l’h\u00f4te.<\/p>\n L’acc\u00e8s accord\u00e9 par l’exploitation r\u00e9ussie de services Postgresql faiblement configur\u00e9s est utilis\u00e9 pour effectuer une reconnaissance pr\u00e9liminaire et d\u00e9poser une charge utile en cod\u00e9 de base de base64, qui, en r\u00e9alit\u00e9, est un script shell qui tue les mineurs de crypto-monnaie concurrents et laisse tomber un binaire nomm\u00e9 PG_CORE.<\/p>\n Le serveur est \u00e9galement t\u00e9l\u00e9charg\u00e9 sur le ma\u00eetre de poste de Golang binaire obscurci que imitation<\/a> Le serveur de base de donn\u00e9es multi-utilisateurs postgresql l\u00e9gitime. Il est con\u00e7u pour mettre en place de la persistance sur l’h\u00f4te \u00e0 l’aide d’un travail cron, cr\u00e9er un nouveau r\u00f4le avec des privil\u00e8ges \u00e9lev\u00e9s et \u00e9crire un autre binaire appel\u00e9 cpu_hu \u00e0 disque.<\/p>\n CPU_HU, pour sa part, t\u00e9l\u00e9charge la derni\u00e8re version du Mineur XMRI<\/a> \u00e0 partir de GitHub et le lance sans fid\u00e8le via une technique sans fid\u00e8le Linux connue appel\u00e9e MEMFD. <\/p>\n “L’acteur de menace attribue un travailleur minier unique \u00e0 chaque victime”, a d\u00e9clar\u00e9 Wiz, ajoutant qu’il a identifi\u00e9 trois portefeuilles diff\u00e9rents li\u00e9s \u00e0 l’acteur de menace. “Chaque portefeuille comptait environ 550 travailleurs. Combin\u00e9, cela sugg\u00e8re que la campagne aurait pu tirer parti de plus de 1 500 machines compromises.”<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/04\/Plus-de-1-500-serveurs-postgresql-compromis-dans-une-campagne.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n