Ukryty botnet kryptograficzny dostosowuje swój procesor, aby zoptymalizować wydajność wydobycia

Ukryty botnet kryptograficzny dostosowuje swój procesor, aby zoptymalizować wydajność wydobycia
Eksperci ds. bezpieczeństwa cybernetycznego odkryli nowe złośliwe oprogramowanie, które modyfikuje procesor ofiary, aby zwiększyć wydajność maszyny jako koparki kryptowalut. Zidentyfikowane przez firmę Uptycs, zajmującą się bezpieczeństwem w chmurze, złośliwe oprogramowanie atakuje wrażliwe serwery Linux, wykorzystując znane luki w popularnych serwerach internetowych. „Zespół badający zagrożenia Uptycs zaobserwował ostatnio robaka opartego na Golang, który upuszcza pliki binarne kopaczy kryptowalut, które wykorzystują sterownik MSR (Model Specific Register) do wyłączania pregrabberów sprzętowych i zwiększania szybkości procesu kopania o 15%” — ujawnili badacze z firmy Uptycs. wpis na blogu. .

LaComparacion cię potrzebuje! Przyglądamy się, w jaki sposób nasi czytelnicy korzystają z VPN z witrynami do przesyłania strumieniowego, takimi jak Netflix, abyśmy mogli ulepszać nasze treści i oferować lepsze porady. Ta ankieta nie zajmie Ci więcej niż 60 sekund i bylibyśmy bardzo wdzięczni, gdybyś podzielił się z nami swoimi doświadczeniami.
Kliknij tutaj, aby uruchomić ankietę w nowym oknie
Sprzętowe pobieranie wstępne to technika, która umożliwia procesorom ładowanie danych do pamięci podręcznej w celu przyspieszenia powtarzalnych obliczeń i może być stosowana na zmianę z MSR.

Kara za wydajność

Zdaniem badaczy, wyłączenie sprzętowego modułu wstępnego ładowania zwiększa wydajność szyfrowania, ale zmniejsza wydajność innych legalnych aplikacji działających na serwerze. Chociaż złośliwe oprogramowanie, po raz pierwszy zidentyfikowane przez Uptycs w czerwcu 2021 r., jest podobne do szczepu Intezer odkrytego w zeszłym roku, nowe warianty wykorzystują kilka nowych sztuczek. Naukowcy zidentyfikowali już siedem wariantów kryptokoparki odrobaczającej opartej na Goland, z subtelnymi różnicami. Opisując łańcuch ataków koparki kryptowalut, naukowcy twierdzą, że atak rozpoczyna się od skryptu powłoki, który najpierw pobiera robaka Golang. Następnie robak ten wyszukuje i wykorzystuje istniejące luki w zabezpieczeniach serwera, w tym CVE-2020-14882 i CVE-2017-11610. Po włamaniu się do podatnego serwera robak zapisuje wiele swoich kopii w różnych wrażliwych katalogach, takich jak /boot, /efi, /grub, a następnie umieszcza koparkę Xmrig ELF w /tmp. Następnie górnik wyłącza moduł wstępnego ładowania sprzętu za pomocą MSR, zanim rozpocznie pracę.