Ботнет Satori атакует уязвимые фермы для майнинга

Зомби-сеть ищет уязвимые устройства с майнером Claymore и заставляет их работать на себя.

Ботнет Satori снова занялся угоном мощностей для генерации криптовалюты. ИБ-исследователи обнаружили массовое сканирование в поисках открытых портов 3333. Их обычно используют для удаленного управления майнинг-фермами, добывающими Ethereum. Атака проводится при помощи GPON-роутеров, захваченных в начале мая.

Первыми обратили внимание на подозрительную активность ботов специалисты из Qihoo 360 Netlab. По их данным, сканирования начались 11 мая. Позже эксперты GreyNoise проанализировали ход кампании и выяснили, что мишенью зомби-сети является оборудование с доступным портом 3333 и работающим майнером Claymore версии 7.3 или ниже.

Обнаружив подходящее устройство, ботнет использует уязвимость CVE 2018-1000049, позволяющую загрузить в программу исполняемый BAT-файл с любыми командами через API-интерфейс удаленного управления.

Брешь известна с февраля 2018 года, в Сети для нее есть общедоступный PoC-код. Успешно взломав Claymore, злоумышленники изменяют настройки приложения так, чтобы оно подключалось к майнинговому пулу Dwarfpool и пересылало добытые токены на их криптокошелек.

Как выяснили исследователи из GreyNoise, сканирования производятся с мексиканских IP-адресов, принадлежащих сетям двух интернет-провайдеров. Ранее, 10 мая, роутеры этих компаний подверглись атаке пяти ботнетов одновременно.

Зомби-сети пытались эксплуатировать две уязвимости, слишком рано раскрытые ИБ-специалистами. Как сообщили исследователи, наблюдавшие за атакой, первый эксплойт Satori оказался неработающим. Однако впоследствии зомби-сеть все-таки сумела захватить устройства.

Майнер Claymore — программа для генерации токенов Ethereum и Decred. В январе Satori уже атаковал ее через неизвестную тогда уязвимость, позволявшую удаленно изменять адрес кошелька, на который поступают монеты.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

0

Всего голосов: 0

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля