Yeni Cryptacking Saldırısı, madencileri yüklemek ve savunmaları devre dışı bırakmak için Redis sunucularından yararlanır

Güvenlik savunmalarını sistematik olarak sökerken, kripto para madencilerini dağıtmak için birden fazla kıtada yanlış yapılandırılmış REDIS sunucularını kullanan sofistike bir kriptaj kampanyası ortaya çıktı.

Bu operasyonun arkasındaki tehdit oyuncusu, Ta-Natalstatus olarak adlandırılan, 2020’den beri aktiftir, ancak 2025 yılı boyunca faaliyetlerini önemli ölçüde artırmış ve maruz kalan Redis örneklerini büyük ekonomilerde endişe verici başarı oranları ile hedeflemektedir.

Kampanya, enfeksiyon oranlarının etkilenen bölgelerde endişe verici seviyelere ulaşmasıyla eşi görülmemiş ölçek ve teknik sofistike olduğunu göstermektedir.

Finlandiya’da Redis sunucularının% 41’i tehlikeye girerken Rusya% 39 enfeksiyon oranları gösteriyor. Almanya% 33 uzlaşma oranı ile karşı karşıya, Birleşik Krallık% 27, Fransa% 23 ile ve ABD REDIS sunucularının% 17’sini etkilediğini bildirdi.

Coğrafi dağıtım, 140.000’den fazla maruz kalan REDIS örneğine ev sahipliği yapan Çin de dahil olmak üzere Asya-Pasifik bölgelerinden Avrupa ve Kuzey Amerika altyapısına kapsamaktadır.

CloudSek analistleri, Ta-Natalstatus’un basit bir kriptolama operasyonundan kapsamlı bir rootkit tarzı saldırı çerçevesine dönüştüğünü ortaya koyarak, bu gelişmiş kalıcı tehdidi tanımladılar.

Tehdit aktörleri, standart izleme araçlarına neredeyse tespit edilemez kalırken, tehlikeye atılmış sunucuları uzun vadeli madencilik varlıklarına dönüştüren süreç kaçırma, komuta gizleme ve zamanlama tekniklerini dahil ederek, gizli yeteneklerini sistematik olarak yükselttiler.

Saldırı metodolojisi, “miras tarafından kök” tekniği olarak bilinen temel bir güvenlik zayıflığından yararlanır;

Saldırganlar, geleneksel güvenlik açıklarından yararlanmak yerine, kalıcı erişim ve kontrol elde etmek için meşru redis operasyonlarından yararlanır.

Gelişmiş kalıcılık ve kaçınma mekanizmaları*

Kötü amaçlı yazılımların kalıcılık stratejisi, sistem manipülasyonu ve savunma kaçakçılığında bir masterclass’ı temsil eder. Ta-NatalStatus, kritik sistem kamu hizmetlerinin sistematik olarak kötü niyetli ambalajlarla değiştirildiği ikili kaçırma ile başlayan çok katmanlı bir yaklaşım kullanır.

Saldırganlar meşru ikili dosyaları yeniden adlandırıyor ps Ve top ile ps.original Ve top.originalardından madencilik süreçlerinin kanıtlarını filtrelerken orijinal komutları yürüten özel komut dosyalarını yükleyin.

Saldırı dizisi, bir dizi yapılandırma kümesi komutu aracılığıyla sofistike redis manipülasyonunu içerir. Saldırganlar Redis veritabanı çıkışını yeniden yönlendiriyor /var/spool/cron/root ve otomatik yük indirmelerini tetikleyen kötü niyetli cron işleri enjekte edin.

Teknik, Redis’in kök ayrıcalıklarıyla çalışırken keyfi dosyalar yazma yeteneğinden yararlanır ve veritabanı hizmetini sürekli kötü amaçlı yazılım kurulumu için bir dağıtım mekanizmasına dönüştürür.

Uzun vadeli kalıcılığı sağlamak için kötü amaçlı yazılım, değişmez dosya koruması uygular. chattr +i Komut, temel kötü amaçlı yazılım bileşenlerini kök kullanıcıları tarafından bile alçaltılamaz hale getirir.

Bu teknik, “UC1” ayırt edici anahtar yorumu kullanılarak SSH arka kapı kurulumu ile birleştiğinde, sistemin yeniden başlatılmasını ve temel temizleme girişimlerini hayatta kalan birden fazla erişim yolu oluşturur.

Kapsamlı yaklaşım, enfekte olmuş sistemleri hem rakip kötü amaçlı yazılım hem de yönetici iyileştirme çabalarına karşı aktif olarak savunan esnek madencilik platformlarına dönüştürür.

Boost your SOC and help your team protect your business with free top-notch threat intelligence: Request TI Lookup Premium Trial.