Su objetivo es secuestrar los recursos del sistema para extraer criptomonedas
Los servidores de bases de datos Redis mal configurados son el objetivo de una nueva campaña de cryptojacking que aprovecha un servicio de transferencia de archivos de línea de comandos legítimo y de código abierto para implementar su ataque.
"Apuntalar esta campaña fue el uso de transfer[.]sh", dijo en un informe Cado Security. "Es posible que sea un intento de evadir las detecciones basadas en otros dominios comunes de alojamiento de código (como pastebin[.]com)".
La firma de ciberseguridad en la nube dijo que la interactividad de la línea de comandos asociada con transfer[.]sh la ha convertido en una herramienta ideal para alojar y entregar cargas maliciosas.
La cadena de ataque comienza apuntando a implementaciones inseguras de Redis, seguido por el registro de un trabajo cron que conduce a la ejecución de código arbitrario cuando el programador lo analiza. El trabajo está diseñado para recuperar una carga útil alojada en transfer[.]sh.
Vale la pena señalar que otros actores de amenazas como TeamTNT y WatchDog han empleado mecanismos de ataque similares en sus operaciones de cryptojacking.
La carga útil es una secuencia de comandos que allana el camino para un minero de criptomonedas XMRig, pero no sin antes tomar medidas preparatorias para liberar memoria, terminar con los mineros de la competencia e instalar una utilidad de escáner de red llamada pnscan para encontrar servidores Redis vulnerables y propagar la infección.
"Aunque está claro que el objetivo de esta campaña es secuestrar los recursos del sistema para extraer criptomonedas, la infección por este malware podría tener efectos no deseados", dijo la compañía. "La configuración imprudente de los sistemas de administración de memoria de Linux podría fácilmente resultar en la corrupción de datos o la pérdida de disponibilidad del sistema".
El desarrollo lo convierte en la última amenaza que afecta a los servidores de Redis después de Redigo y HeadCrab en los últimos meses.
Los hallazgos también se producen cuando Avertium reveló un nuevo conjunto de ataques en los que los servidores SSH utilizan la fuerza bruta para implementar el malware de botnet XorDdos en servidores comprometidos con el objetivo de lanzar ataques distribuidos de denegación de servicio (DDoS) contra objetivos ubicados en China y los Estados Unidos.
La compañía de ciberseguridad dijo que observó 1,2 millones de intentos de conexión SSH no autorizados en 18 honeypots entre el 6 de octubre de 2022 y el 7 de diciembre de 2022. Atribuyó la actividad a un actor de amenazas con sede en China.
El 42% de esos intentos se originaron en 49 direcciones IP asignadas a ChinaNet Jiangsu Province Network, y el resto se originó en 8.000 direcciones IP repartidas por todo el mundo.
"Se descubrió que una vez que el escaneo identificaba un puerto abierto, estaría sujeto a un ataque de fuerza bruta contra la cuenta 'raíz' usando una lista de aproximadamente 17.000 contraseñas", dijo Avertium. "Una vez que el ataque de fuerza bruta tuvo éxito, se instaló un bot XorDDoS".
