Otomatik ve büyük ölçekli bir 'Freacking' kampanyası, sağlayıcının pahasına kripto para birimini çıkarmak için ücretsiz GitHub, Heroku ve Buddy hizmetlerini kötüye kullanıyor.
Operasyon, her bir serbest hesaptan küçük bir kâr elde etmek için serbest katmanlı bulut hesaplarına sunulan sınırlı kaynakların kötüye kullanılmasına dayanır, bu da birleştirildiğinde daha önemli bir şey haline gelir.
GitHub (300 hesap), Heroku (2.000 hesap) ve Buddy.Works (900 hesap) gibi CI/CD servis sağlayıcılarını kullanarak 'Purpleurchin' adlı kampanyanın arkasındaki tehdit oyuncusu gözlendi. .
Bu hesapların kullanımı, madencilik kapları ile 130 Docker Hub görüntüleri ile döndürülür ve kanalize edilirken, tüm operasyonel seviyelerde gizleme şimdiye kadar Morleurchin'i tespit etmedi.
SYSDIG tarafından yapılan yeni bir raporda, araştırmacılar, operasyonun çekirdeğinin komut ve kontrol sunucusu (C2) ve Stratum Server olarak hareket eden, tüm aktif madencilik ajanlarını koordine eden ve bunları tehdide yönlendiren bir LinuxApp konteyneri ('Linuxapp847444744744744474') olduğunu açıklıyor ve Aktör madencilik havuzu.
GitHub hesaplarının oluşturulmasını otomatikleştirmek, bir depo oluşturmak ve GitHub eylemlerini kullanarak iş akışını çoğaltmak için bir kabuk komut dosyası ('Userlinux8888') kullanılır. Tüm GitHub eylemleri, isimler için rastgele dizeler kullanılarak gizlenir.
Purpleurchin, GitHub'ın bot etkinlik algılamasından kaçmak için her hesabı farklı bir IP adresine kaydetmek için OpenVPN ve Namecheap VPN'yi kullanır.
Github eylemleri, komut dosyasının yürütülecek komut dosyası, bağlanması için proxy IP ve bağlantı noktası, tabakalı kimlik adı ve maksimum bellek ve CPU'nun kullanılacağını kullanarak her çalışmada 30'dan fazla Docker görüntüsü başlatır.
Sonunda, başka bir komut dosyası ("LinuxWebApp88") Stratum Server'daki yapılandırmayı doğrular, GitHub deposunda bulunan Docker komutunu alır ve madenci kapsayıcısını başlatır.
Madenci, Tidecoin, Onyx, Surgarchain, Sprint, Yenten, Arionum, Mintme ve Bitweb gibi çeşitli kripto paralarını gizlice mayın için sunucunun CPU gücünün küçük bir bölümünü kullanır.
Madencilik süreci, ağ tarayıcılarının madencilik havuzlarına giden bağlantıları keşfetme yeteneğini engelleyen özel bir Stratum Madencilik Protokolü rölesi kullanır.
Bu röle aynı zamanda tehdit oyuncunun kripto cüzdan adresini de gizler, bu nedenle Purpleurchin'in karı Sysdig'in analistleri için cevaplanmamış bir soru olmaya devam ediyor.
Tehdit aktörleri tarafından benimkine seçilen kripto para birimi marjinal olarak karlıdır, bu nedenle Sysdig, operasyonun erken deneysel bir aşamada olduğunu ya da%51'lik bir ağ kontrolü çoğunluğu oluşturarak blok zincirlerin kontrolünü ele geçirmeye çalıştığını varsayar.
İlk senaryo doğruysa, tehdit oyuncusu yakında Monero veya Bitcoin gibi daha karlı paralara geçebilir.
Her iki durumda da, Purpleurchin'in amacı finansal kârdan başka bir şey olamaz, ancak devam eden serbest jacking operasyonu henüz bunu başarmak için doğrudan kanal olmayabilir.
Bununla birlikte, GitHub için hasar hala önemli ve ölçülebilir, Sysdig'in analistleri bunun hesap başına ayda 15 dolar olduğunu tahmin ediyor. Heroku ve Buddy için maliyet hesap başına ayda 7 ila 10 dolar arasında.
Bu hesaplamalara dayanarak, Tehdit Oyuncunun FreeJacking yoluyla bir Monero'yu (XMR) benim için 100.000 doların üzerinde hizmet sağlayıcıya mal olacak.
Bu, Monero başına yaklaşık 11.000 dolar olduğu tahmin edilen normal kriptaj işlemlerinin neden olduğu hasardan yaklaşık on kat daha yüksek.
Kripto borsaları tarafından kullanılan NPM paketleri tehlikeye atılmış
Yeni Linux kötü amaçlı yazılım, çok aşamalı dağıtım kullanarak tespitten kaçınır
Binlerce GitHub depoları, kötü amaçlı yazılımlarla sahte POC istismarları sunar
Kripto para birimi hırsızlığı için hapsedilen siber suçlular, ölüm tehditleri
Sahte Solana Phantom Güvenlik Güncellemeleri Push Crypto-Destekar Kötü Yazılım
Kaynak: Bleeping Computer