SOS :: Security Operation Space
club
меню
club
поиск
 

Ботнет Satori атакует уязвимые фермы для майнинга

21 мая 2018 г., понедельник, 15:30

Зомби-сеть ищет уязвимые устройства с майнером Claymore и заставляет их работать на себя.

Ботнет Satori снова занялся угоном мощностей для генерации криптовалюты. ИБ-исследователи обнаружили массовое сканирование в поисках открытых портов 3333. Их обычно используют для удаленного управления майнинг-фермами, добывающими Ethereum. Атака проводится при помощи GPON-роутеров, захваченных в начале мая.

Первыми обратили внимание на подозрительную активность ботов специалисты из Qihoo 360 Netlab. По их данным, сканирования начались 11 мая. Позже эксперты GreyNoise проанализировали ход кампании и выяснили, что мишенью зомби-сети является оборудование с доступным портом 3333 и работающим майнером Claymore версии 7.3 или ниже.

Обнаружив подходящее устройство, ботнет использует уязвимость CVE 2018-1000049, позволяющую загрузить в программу исполняемый BAT-файл с любыми командами через API-интерфейс удаленного управления.

Брешь известна с февраля 2018 года, в Сети для нее есть общедоступный PoC-код. Успешно взломав Claymore, злоумышленники изменяют настройки приложения так, чтобы оно подключалось к майнинговому пулу Dwarfpool и пересылало добытые токены на их криптокошелек.

Как выяснили исследователи из GreyNoise, сканирования производятся с мексиканских IP-адресов, принадлежащих сетям двух интернет-провайдеров. Ранее, 10 мая, роутеры этих компаний подверглись атаке пяти ботнетов одновременно.

Зомби-сети пытались эксплуатировать две уязвимости, слишком рано раскрытые ИБ-специалистами. Как сообщили исследователи, наблюдавшие за атакой, первый эксплойт Satori оказался неработающим. Однако впоследствии зомби-сеть все-таки сумела захватить устройства.

Майнер Claymore — программа для генерации токенов Ethereum и Decred. В январе Satori уже атаковал ее через неизвестную тогда уязвимость, позволявшую удаленно изменять адрес кошелька, на который поступают монеты.

Ваш голос учтён!
нравится
не нравится
Рейтинг:
0
Всего голосов: 0
Комментарии

Добавить комментарий к новости

Ваше имя: *
Сообщение: *
Нет комментариев
© 2013—2024 SOS :: Security Operation Space (Пространство Операций Безопасности)  // Обратная связь  | 0.058
Использование любых материалов, размещённых на сайте, разрешается при условии ссылки на sos.net.ua.