Pesquisadores de segurança cibernética da unidade 42 da empresa Palo Alto Networks descobriram uma nova campanha de malware focada na mineração da criptomoeda de privacidade Monero.
A nova campanha de malware chamada Hildegarda tem como objetivo atacar clusters da plataforma open source Kubernetes, para utilizar o poder de processamento computacional dos equipamentos na mineração Monero (XMR), a criptomoeda focado na privacidade. A empresa de segurança cibernética que descobriu o malware, Palo Alto Networks, observa que esse novo malware pode estar sendo usado pelo grupo de ameaças TeamTNT, conhecido por explorar daemons Docker inseguros, implantar imagens de contêiner maliciosas e executar ataques para roubar credenciais da Amazon Web Services e muito mais.
El denunciar Uma pesquisa da Unidade 42 da Palo Alto Networks demonstra que os invasores conseguiram obter acesso inicial por meio de um kubelet mal configurado, que permitiu acesso anônimo à rede, permitindo que os invasores se estabelecessem dentro de um dos clusters. Ao infectar um deles, o malware Hildegard começou a se espalhar tão amplamente quanto possível por todo o sistema e seus computadores, eventualmente iniciando operações de malware. cryptojacking, com o objetivo de utilizar o poder computacional de cada um dos computadores infectados do Kubernetes para minerar criptomoedas, como o Monero, de forma furtiva e ilegal.
Você pode estar interessado: Novo risco potencial para seus bitcoins, Espanha entre os países mais afetados por malware
Recursos do novo malware
O novo malware está em execução há apenas um mês, de acordo com os pesquisadores da Unidade 42, e embora tenha muitas das ferramentas e funcionalidades vistas em campanhas de malware anteriores conduzidas por este grupo de ameaças, o malware Hildegard também possui alguns novos recursos que os pesquisadores. não tinha visto em campanhas anteriores.
Em particular, os pesquisadores de segurança cibernética observam que o malware Hildegard da TeamTNT usa duas maneiras de estabelecer conexões de comando e controle (C2): uma por meio de um shell reverso tmate e outra por meio de um canal de Internet Relay Chat (IRC), um canal real baseado em texto. protocolo de comunicação de tempo que usado recentemente os desenvolvedores de Bitcoin para discutir a ativação do Taproot na rede.
Além disso, a nova campanha de malware utiliza um nome de processo conhecido do Linux (bioset) para disfarçar e ocultar o processo malicioso, de modo que ele atue de forma mais furtiva e persistente. Da mesma forma, os pesquisadores destacam que o malware Hildegard utiliza uma técnica de injeção de biblioteca baseada em LD_PRELOAD, que permite ocultar processos maliciosos para não serem descobertos. Além disso, ele criptografa a carga maliciosa dentro de um binário para dificultar a análise estática automatizada, permitindo que seja resistente a esses tipos de varreduras.
Por outro lado, além de todas estas características, os investigadores apontam que se trata de uma campanha de malware em pleno desenvolvimento, uma vez que a sua base de código e infraestrutura estão aparentemente incompletas.
Mineração ilegal de Monero (XMR)
Pesquisadores da empresa de segurança cibernética descobriram que recursos computacionais sequestrados de clusters Kubernetes pela campanha de malware estavam sendo usados para minerar de forma maliciosa e secreta a criptomoeda de privacidade Monero (XMR).
Para minerar a criptomoeda, o malware estava usando o minerador XMRig, um dos mineradores mais atraentes para os cibercriminosos de acordo com a ESET, outra empresa de segurança cibernética altamente reconhecida no mercado. ESET garante que 73% dos malwares dedicados à mineração ilegal, na América Latina e no mundo, utilizam XMRig.
Apesar do pouco tempo de execução desta campanha de malware, os investigadores descobriram que os cibercriminosos já armazenavam cerca de 25,05 KH de poder computacional ou taxa de hash, com o qual conseguiram minerar cerca de 11 XMR, avaliados na época desta edição em US$ 1.640.
Continue lendo: ESET descobre nova família de malware capaz de minerar e roubar criptomoedas
