Oligo Security, NVIDIA GPU’larla enfekte olmuş kümeleri kendi kendini kopyalayan bir kripto para birimi madenciliği botnet’ine dönüştürmek için Ray açık kaynaklı yapay zeka (AI) çerçevesindeki iki yıllık bir güvenlik açığından yararlanan devam eden saldırılar konusunda uyardı.
Kod adı verilen etkinlik GölgeRay 2.0Eylül 2023 ile Mart 2024 arasında gözlemlenen önceki dalganın bir evrimidir. Saldırı, özünde kritik bir eksik kimlik doğrulama hatasını (CVE-2023-48022, CVSS puanı: 9,8) kullanarak duyarlı örneklerin kontrolünü ele geçiriyor ve XMRig kullanarak yasa dışı kripto para birimi madenciliği için bilgi işlem güçlerini ele geçiriyor.
Güvenlik açığı, Ray’in yalıtılmış bir ağda çalıştırılmasını ve güvenilir koda göre hareket etmesini gerektiren en iyi geliştirme uygulamalarıyla tutarlı olan “uzun süredir devam eden tasarım kararı” nedeniyle yama yapılmadan kaldı.
Kampanya, basit keşiflerden karmaşık çok aşamalı Bash ve Python yüklerine, açığa çıkan kontrol panellerindeki kimliği doğrulanmamış bir Ray İş Gönderim API’sine (“/api/jobs/”) kadar değişen komutlarla kötü amaçlı işlerin gönderilmesini içeriyor. Ele geçirilen Ray kümeleri daha sonra, yükleri diğer Ray kontrol panellerine dağıtmak için sprey ve dua saldırılarında kullanılır ve esasen bir kurbandan diğerine yayılabilen bir solucan oluşturulur.
Saldırıların, kötü amaçlı yazılımı dağıtmak için GitLab ve GitHub’dan yararlandığı, depolar oluşturmak ve kötü amaçlı yükleri saklamak için “ironern440-group” ve “thisisforwork440-ops” gibi adlar kullandığı tespit edildi. Her iki hesaba da artık erişilemiyor. Ancak siber suçlular, kaldırma çabalarına yeni bir GitHub hesabı oluşturarak karşılık verdi; bu da onların azimlerini ve operasyonlara hızlı bir şekilde devam etme yeteneklerini gösterdi.
Yükler, sırasıyla, internete açık olmayan düğümlere yanal olarak dönmek, kötü amaçlı yazılımı yaymak, uzaktan kontrol için saldırgan tarafından kontrol edilen altyapıya ters kabuklar oluşturmak ve ana bilgisayarlara yeniden bulaşmak için kötü amaçlı yazılımın en son sürümünü GitLab’dan alan bir cron işini her 15 dakikada bir çalıştırarak kalıcılık oluşturmak için platformun orkestrasyon yeteneklerinden yararlanır.
Araştırmacılar Avi Lumelsky ve Gal Elbaz, tehdit aktörlerinin “Ray’in meşru düzenleme özelliklerini, kendi kendine yayılan, küresel bir kripto hırsızlığı operasyonu için araçlara dönüştürdüğünü ve açığa çıkan Ray kümeleri boyunca özerk bir şekilde yayıldığını” söyledi.
Kampanya, GitLab veri yüklerini oluşturmak için büyük olasılıkla büyük dil modellerinden (LLM’ler) yararlanmıştır. Bu değerlendirme, kötü amaçlı yazılımın “yapısına, yorumlarına ve hata işleme modellerine” dayanmaktadır.
Bulaşma zinciri, kurbanın Çin’de bulunup bulunmadığını belirlemek için açık bir kontrol içeriyor ve eğer öyleyse, kötü amaçlı yazılımın bölgeye özgü bir sürümünü sunuyor. Aynı zamanda, diğer kripto para madencileri için çalışan süreçleri tarayarak ve bunları sonlandırarak rekabeti ortadan kaldırmak için tasarlanmıştır; bu, kripto hırsızlığı grupları tarafından ana bilgisayardan madencilik kazançlarını en üst düzeye çıkarmak için yaygın olarak benimsenen bir taktiktir.
Saldırıların bir diğer dikkate değer yönü, kötü niyetli süreçlerin meşru Linux çekirdeği çalışan hizmetleri gibi gizlenmesi ve CPU kullanımının yaklaşık %60 ile sınırlandırılması da dahil olmak üzere, radarın altından geçmek için çeşitli taktiklerin kullanılmasıdır. Kampanyanın Eylül 2024’ten bu yana aktif olabileceğine inanılıyor.
Ray’in “kontrollü bir ağ ortamı” içinde konuşlandırılması amaçlanıyor olsa da, bulgular kullanıcıların Ray sunucularını internete maruz bıraktığını, kötü aktörler için kazançlı bir saldırı yüzeyi açtığını ve açık kaynaklı güvenlik açığı tespit aracı interaktif.sh’yi kullanarak hangi Ray kontrol paneli IP adreslerinin kötüye kullanılabileceğini belirlediğini gösteriyor. 230.500’den fazla Ray sunucusu halka açıktır.
Orijinal olarak Ray’i geliştiren Anyscale, kazara maruz kalmayı önlemek amacıyla kümelerin uygun şekilde yapılandırıldığını doğrulamak için bir “Ray Açık Bağlantı Noktaları Denetleyicisi” aracını yayımladı. Diğer risk azaltma stratejileri arasında, yetkisiz erişimi sınırlamak için güvenlik duvarı kurallarının yapılandırılması ve Ray Dashboard bağlantı noktasının (varsayılan olarak 8265) üstüne yetkilendirme eklenmesi yer alır.
Oligo, “Saldırganlar, üretim web sitelerini hedef alan bir TCP durumu tüketme aracı olan sockstress’i kullandı. Bu, ele geçirilen Ray kümelerinin muhtemelen rakip madencilik havuzlarına veya diğer altyapılara karşı hizmet reddi saldırıları için silah haline getirildiğini gösteriyor.” dedi.
“Bu, operasyonu saf kripto hırsızlığından çok amaçlı bir botnet’e dönüştürüyor. DDoS saldırıları başlatma yeteneği başka bir para kazanma vektörü ekliyor; saldırganlar DDoS kapasitesini kiralayabilir veya rekabeti ortadan kaldırmak için kullanabilir. Hedef bağlantı noktası 3333, madencilik havuzları tarafından yaygın olarak kullanılıyor ve bu da rakip madencilik altyapısına yönelik saldırıları akla getiriyor.”