Qubitstrike Apunta a Notebooks de Jupyter con Minería de Criptomonedas y Campaña de Rootkit
Apodada Qubitstrike por Cado, el conjunto de intrusiones utiliza la API de Telegram para exfiltrar credenciales de proveedores de servicios en la nube después de una exitosa intrusión.
"Las cargas útiles de la campaña Qubitstrike están alojadas en codeberg.org, una plataforma de alojamiento Git alternativa que ofrece gran parte de la misma funcionalidad que GitHub", dijeron los investigadores de seguridad Matt Muir y Nate Bill en un informe publicado el miércoles.
En la cadena de ataque documentada por la empresa de seguridad en la nube, las instancias de Jupyter accesibles públicamente son violadas para ejecutar comandos y recuperar un script de shell (mi.sh) alojado en Codeberg.
El script de shell, que actúa como carga útil principal, es responsable de ejecutar un minero de criptomonedas, establecer persistencia mediante un trabajo cron, insertar una clave controlada por el atacante en el archivo .ssh/authorized_keys para acceso remoto y propagar el malware a otros hosts a través de SSH.
El malware también es capaz de recuperar e instalar el rootkit Diamorphine para ocultar procesos maliciosos y transmitir las credenciales capturadas de Amazon Web Services (AWS) y Google Cloud de vuelta al atacante a través de la API de bot de Telegram.
Un aspecto destacado de los ataques es el cambio de nombre de utilidades legítimas de transferencia de datos como curl y wget en un intento probable de evadir la detección y evitar que otros usuarios del sistema utilicen las herramientas.
"mi.sh también iterará a través de una lista codificada de nombres de procesos y tratará de detener los procesos asociados", dijeron los investigadores. "Esto probablemente obstaculizará cualquier operación de minería realizada por competidores que hayan comprometido previamente el sistema".
Campaña de Minería de Criptomonedas y Rootkit
El script de shell está diseñado además para aprovechar el comando netstat y una lista codificada de pares IP/puerto, previamente asociados a campañas de criptojacking, para desconectar cualquier conexión de red existente a esas direcciones IP.
También se toman medidas para eliminar varios archivos de registro de Linux (por ejemplo, /var/log/secure y /var/log/wtmp), lo que es otra señal de que los actores de Qubitstrike intentan pasar desapercibidos.
El origen exacto del actor de amenazas sigue sin estar claro, aunque las pruebas apuntan a que probablemente sea Túnez debido a la dirección IP utilizada para iniciar sesión en el honeypot de la nube con las credenciales robadas.
Un examen más detenido del repositorio de Codeberg también ha revelado un implante de Python (kdfs.py) diseñado para ejecutarse en hosts infectados, con Discord actuando como un mecanismo de control y comando (C2) para cargar y descargar desde y hacia la máquina.
La conexión entre mi.sh y kdfs.py sigue siendo desconocida hasta ahora, aunque se sospecha que el backdoor de Python facilita la implementación del script de shell. También parece que mi.sh puede entregarse como un malware independiente sin depender de kdfs.py.
"Qubitstrike es una campaña de malware relativamente sofisticada, liderada por atacantes con un enfoque particular en la explotación de servicios en la nube", dijeron los investigadores.
"Por supuesto, el objetivo principal de Qubitstrike parece ser la apropiación de recursos con el fin de minar la criptomoneda XMRig. A pesar de esto, el análisis de la infraestructura de C2 de Discord muestra que, en realidad, los operadores podrían llevar a cabo cualquier ataque concebible después de obtener acceso a estos hosts vulnerables."
Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.
Comentarios
Publicar un comentario