The Pirate Bay. Le estensioni compatibili con Chrome. La rete Showtime di CBS. Cosa c'è dopo per questa nuova ondata di miner in background? Secondo le persone di ESET, server basati su Windows Server 2003 R2 che non hanno ricevuto le patch corrispondenti. L'ultima operazione è rimasta attiva per tre mesi e gli attaccanti hanno generato l'equivalente di 63 mila dollari in Monero, una delle criptovalute più popolari del momento.
Il genio è uscito dalla lampada, non trovo altro modo per descriverlo. Il crypto-mining non è diventato attraente solo per il valore attuale delle monete, ma perché è relativamente facile da realizzare. Gli strumenti sono open source, funzionano molto bene e con un paio di regolazioni preliminari in un file di configurazione, il resto si riduce a fare doppio clic sul suo eseguibile. Servizi come Coinhive consentono il mining che può essere integrato nel codice di qualsiasi pagina web o servizio online e, come previsto, gli attacchi per installare criptominatori su sistemi 24/7 si moltiplicano. Le campagne puntano a un ampio numero di terminali che lavorano a bassa intensità, e nonostante le soluzioni di sicurezza riescano a rilevare i minatori senza troppa fatica, stanno avendo molto successo.
L'ultimo report arriva tramite ESET, che ha rilevato un'operazione iniziata a maggio scorso. Gli attaccanti hanno leggermente modificato la versione 0.8.2 del minatore open source XMRig, che utilizza le risorse del processore per generare Monero (XMR). In sostanza, hanno inserito l'indirizzo del «pool» di mining, il portafoglio verso cui trasferire le monete e un comando speciale che interrompe il processo di qualsiasi altro criptominatore concorrente. Il dispiegamento è stato possibile grazie a CVE-2017-7269, una vulnerabilità scoperta a marzo 2017 nel servizio WebDAV di Microsoft IIS 6.0, utilizzato da Windows Server 2003 R2. Tutte le versioni di Windows 2003 hanno terminato il supporto esteso a luglio 2015, ma esiste un hotfix.
In sintesi, l'attacco si è concentrato su server con Windows Server 2003 R2 non protetti e in tre mesi hanno prodotto 414.98 XMR, che al momento di massima quotazione sono arrivati a valere 63.000 dollari. Il numero esatto di server infetti è sconosciuto, ma si stima, sulla base dell'hashrate, che abbia raggiunto centinaia di server. La potenza di mining della campagna sta diminuendo poiché XMRig non ha alcun tipo di persistenza ed è molto facile da eliminare, ma è solo questione di tempo prima che implementino qualcosa di più robusto e furtivo.
ESET
