SSH Bot perfila la CPU, GPU y RAM de Linux antes de implementar Cryptocurrency Miner

Un nuevo robot SSH ha sido sorprendido iniciando sesión silenciosamente en sistemas Linux, perfilando su CPU, GPU y memoria, y luego alejándose sin soltar ninguna payload visible. El comportamiento parece inofensivo a primera vista, pero todo en él apunta a una actividad de criptominería cuidadosamente organizada en espera del objetivo de hardware adecuado.

En lugar de apresurarse a instalar malware, este robot se toma el tiempo para evaluar si un host comprometido es lo suficientemente potente como para que valga la pena explotarlo. La actividad salió a la luz cuando un honeypot DShield registró un inicio de sesión automatizado que se comportaba de manera muy diferente a los ruidosos scripts de carga de una sola línea y de adivinación de contraseñas habituales. En una sola sesión, el bot inició sesión como root, ejecutó solo dos comandos, perfiló el host, probó la escalación de privilegios y se desconectó en segundos. Los analistas del Internet Storm Center señalaron que esta sesión de “sólo reconocimiento” no entregó ningún minero, lo que hizo que el reconocimiento en sí fuera la parte más interesante del ataque.

Se ha observado un comportamiento similar en otras campañas que secuestran servidores Linux y cargas de trabajo en la nube para la minería de Monero, a menudo después de obtener acceso a través de credenciales SSH débiles o servicios mal configurados. Además, mide el tiempo de actividad del sistema y extrae el historial de inicios de sesión recientes, lo que le da al operador una idea de cuán estable y activamente se utiliza el host antes de comprometerse con una payload más pesada.

Consultar publicación original ↗