0 
0 O cryptojacking está voltando, com os invasores usando uma variedade de esquemas para sugar o poder de processamento gratuito da infraestrutura em nuvem para se concentrar na mineração de criptomoedas como Bitcoin e Monero.
Os criptomineradores estão usando a disponibilidade de testes gratuitos em alguns dos maiores serviços de integração e implantação contínua (CI/CD) para implantar código e criar plataformas de mineração distribuídas, de acordo com a Sysdig, fornecedora de segurança para serviços nativos da nuvem. Os invasores também são direcionados a instâncias Kubernetes e Docker mal configuradas para obter acesso aos sistemas host e executar software de criptomineração, alertou a empresa de serviços de segurança cibernética CrowdStrike esta semana.
Ambas as táticas estão apenas tentando lucrar com a ascensão das moedas digitais às custas de outra pessoa, diz Manoj Ahuje, pesquisador sênior de ameaças para segurança na nuvem da CrowdStrike.
“Desde que a carga de trabalho comprometida esteja disponível, em essência, é computação gratuita – para um criptominerador, isso é uma vitória em si, pois seu custo de entrada se torna zero”, diz ele. “E… se um invasor puder comprometer um grande número dessas cargas de trabalho de forma eficaz por meio do crowdsourcing da computação para mineração, isso ajudará a atingir a meta mais rapidamente e minerar mais no mesmo período de tempo.”
Os esforços de criptomineração aumentam ao longo do tempo, mesmo que o valor das criptomoedas tenha caído nos últimos 11 meses. O Bitcoin, por exemplo, caiu 70% em relação ao seu pico em novembro de 2021 , afetando muitos serviços baseados em criptomoedas. No entanto, os ataques mais recentes mostram que os cibercriminosos estão procurando colher os frutos mais baixos.
A infraestrutura de nuvem dos provedores comprometidos pode não parecer prejudicar os negócios, mas o custo de tais hacks diminuirá. A Sysdig descobriu que o invasor normalmente ganha apenas US$ 1 para cada US$ 53 de custo suportado pelos proprietários da infraestrutura em nuvem. A mineração de uma única moeda Monero usando testes gratuitos no GitHub, por exemplo, custaria à empresa mais de US$ 100.000 em receita perdida, estimou Sysdig.
No entanto, as empresas podem não ver inicialmente os danos na mineração de criptomoedas, diz Crystal Morin, pesquisadora de ameaças da Sysdig.
“Eles não estão prejudicando ninguém diretamente, como pegar a infraestrutura de alguém ou roubar dados de empresas, mas se eles aumentarem isso, ou outros grupos tirarem vantagem desse tipo de operação – ‘freejacking’ – poderia começar a prejudicar financeiramente esses provedores e impactar – no back-end – os usuários, com testes gratuitos desaparecendo ou forçando usuários legítimos a pagar mais”, diz ela.
Criptomineradores em todos os lugares
O ataque mais recente, que Sysdig apelidou de PURPLEURCHIN, parece ser um esforço para montar uma rede de criptomineração do maior número possível de serviços que oferecem testes gratuitos. Os pesquisadores da Sysdig descobriram que a mais recente rede de criptomineração utilizava 30 contas GitHub, 2.000 contas Heroku e 900 contas Buddy. O grupo de cibercriminosos baixa um contêiner do Docker, executa um programa JavaScript e carrega em um contêiner específico.
O sucesso do ataque é realmente impulsionado pelos esforços do grupo de cibercriminosos para automatizar o máximo possível, diz Michael Clark, diretor de pesquisa de ameaças da Sysdig.
“Eles realmente automatizaram a atividade de entrar em novas contas”, diz ele. “Eles usam desvios de CAPTCHA, os visuais e as versões de áudio. Eles criam novos domínios e hospedam servidores de e-mail na infraestrutura que construíram. É tudo modular, então eles criam vários contêineres em um host virtual.”
O GitHub, por exemplo, oferece 2.000 minutos gratuitos do GitHub Action por mês em seu nível gratuito, o que pode representar até 33 horas de tempo de execução para cada conta, afirmou o Sysdig em sua análise.
Beijar um cachorro
A campanha de criptojacking que a CrowdStrike descobriu tem como alvo a infraestrutura vulnerável do Docker e do Kubernetes. Chamada de campanha Kiss-a-Dog, os criptomineradores usam vários servidores de comando e controle (C2) para resiliência, usando rootkits para evitar a detecção. Ele inclui uma variedade de outros recursos, como colocar backdoors em qualquer contêiner comprometido e usar outras técnicas para obter persistência.
As técnicas de ataque se assemelham às de outros grupos investigados pela CrowdStrike, incluindo LemonDuck e Watchdog. Mas a maioria das táticas é semelhante ao TeamTNT, que também visava a infraestrutura vulnerável e mal configurada do Docker e do Kubernetes, afirmou a CrowdStrike em seu comunicado.
Embora esses ataques possam não parecer uma violação, as empresas devem levar a sério quaisquer sinais de que os invasores tenham acesso à sua infraestrutura de nuvem, diz Ahuje, da CrowdStrike.
“Quando os invasores executam um criptominerador em seu ambiente, isso é um sintoma de que sua primeira linha de defesa falhou”, diz ele. “Os criptomineradores não estão deixando pedra sobre pedra para explorar essa superfície de ataque a seu favor”.
FONTE: DARK READING