Sysrv-hello Botnet

O Sysrv-hello Botnet é um botnet descoberto recentemente que está procurando servidores corporativos Linux e Windows vulneráveis para adicionar às suas máquinas escravas de mineração de cripto-moeda. Entre as vítimas da ameaça estão Jira, Oracle WebLogic, PHPUnit, Apache Solar, Confluence, JBoss, Laravel, Sonatype e Apache Struts. Como a maioria dos botnets de mineração de cripto-moeda, o Sysrv-hello também implanta uma versão do minerador XMRig que sequestra os recursos de hardware do sistema infectado para gerar moedas Monero.

Apesar de ser uma ameaça relativamente nova, o botnet Sysrv-hello já viu várias atualizações e modificações significativas. Inicialmente, a ameaça tinha uma natureza modular com componentes separados de mineração e propagação (worm). Os exemplos mais recentes, no entanto, contêm um único binário que é capaz de realizar as duas funcionalidades.

Vetores de Compromisso Iniciais

As vulnerabilidades exploradas pelo Sysrv-hello para se espalhar também foram atualizadas. As variantes mais recentes da ameaça contam com seis vulnerabilidades específicas para obter acesso inicial aos sistemas visados:

• Mongo Express RCE (CVE-2019-10758)
• XML-RPC (CVE-2017-11610)
• Saltstack RCE (CVE-2020-16846)
• Drupal Ajax RCE (CVE-2018-7600)
• ThinkPHP RCE (sem CVE)
• XXL-JOB Unauth RCE (sem CVE)

Depois de se firmar no servidor, o Sysrv-hello mata qualquer cripto-mineiro concorrente, inicia seu próprio minerador e se espalha pela rede comprometida. Para mover lateralmente, o botnet coleta chaves SSH privadas dos servidores infectados e as usa para lançar ataques de força bruta.

Os pesquisadores de Infosec conseguiram identificar uma das cripto-carteiras usadas para armazenar as moedas Monero geradas pelo botnet Sysrv-hello. Embora a soma armazenada lá não seja tão impressionante - um pouco mais de 12 XMR (Monero), ou cerca de US $4.000, deve-se observar que os botnets de mineração de c cripto-moeda geralmente empregam várias dessas carteiras, de modo que os ganhos totais dos hackers podem ser significativamente maiores.