Các siêu máy tính trên khắp châu Âu đã trở thành nạn nhân của cuộc tấn công an ninh mạng lan rộng và dường như có liên kết vào tuần trước, thông qua việc cài đặt phần mềm độc hại bất hợp pháp tập trung khai thác XMR.
Siêu máy tính Đức bị ảnh hưởng nhiều nhất
Các siêu máy tính ở Đức, Tây Ban Nha và Thụy Sĩ đã xác nhận bị tấn công dựa theo báo cáo cá nhân vào tuần trước. Tất cả trường hợp đều có một vài chi tiết chung – chẳng hạn như chỉ số mạng, tên tệp tương tự và phần mềm độc hại được lập trình để khai thác tiền điện tử lớn thứ 14 thế giới theo vốn hóa thị trường XMR.
Tuy nhiên, Chris Doman của Cado Security lưu ý với ấn phẩm công nghệ ZDNet rằng không có bằng chứng xác thực nào về các cuộc tấn công liên quan đến một tác nhân/nhóm nhất định, ngoài những điểm tương đồng được đề cập ở trên.
Đại học Edinburgh điều hành siêu máy tính ARCHER báo cáo vụ xâm nhập đầu tiên. Họ đã phát hiện hoạt động khai thác trên các node đăng nhập của họ và nhanh chóng tắt máy tính để ngăn chặn các cuộc tấn công tiếp theo. Tất cả mật khẩu Secure Shell (SSH) đã được đặt lại như một biện pháp bảo mật bổ sung.
bwHPC của Đức đã công bố 5 cụm siêu máy tính ngừng hoạt động sau khi xảy ra “sự cố bảo mật tương tự”, tất cả đều được đặt tại các trường đại học tập trung vào công nghệ trong nước như Đại học Stuttgart và Tuebingen. Sau đó, Leibniz Computing Center (Trung tâm điện toán Leibniz) và Đại học kỹ thuật của Dresden cũng xác nhận ngắt kết nối các cụm máy tính của họ do phát hiện “vi phạm” bảo mật.
Swiss National Supercomputing Center (Trung tâm siêu máy tính quốc gia Thụy Sĩ) là nơi cuối cùng xác nhận vi phạm, nêu rõ “truy cập bên ngoài” vào cơ sở hạ tầng của họ sau khi xảy ra sự cố an ninh mạng.
Tấn công khai thác hiện có lẽ không hoạt động
Đáng chú ý, không có thông báo nào từ Đại học tiết lộ chi tiết về bản chất chính xác của các cuộc xâm nhập và chưa xác nhận việc cài đặt phần mềm khai thác độc hại.
Nhưng dựa trên các mẫu phần mềm độc hại, Đội ứng cứu sự cố bảo mật máy tính châu Âu (Computer Security Incident Response Team – CSIRT) đã công bố phát hiện của mình và lưu ý rằng “máy chủ khai thác XMR” đã được triển khai trong suốt các trường hợp tấn công nhất định.
Nhóm tiếp tục đề cập đến máy chủ proxy, lưu ý:
“Kẻ tấn công sử dụng máy chủ này từ máy chủ khai thác XMR để kết nối với máy chủ proxy XMR khác và cuối cùng đến máy chủ khai thác thực tế”.
Theo đó, bot khai thác XMR được cấu hình để chỉ hoạt động vào ban đêm, có lẽ là để không bị phát hiện.
Phân tích cá nhân của Cado Security chỉ ra những kẻ tấn công dường như khai thác lỗ hổng “CVE-2019-15666“ để đạt được quyền truy cập root, sau đó ứng dụng khai thác XMR có khả năng được cài đặt.
Dựa trên nghiên cứu của mình, công ty cho biết những kẻ tấn công có thể đã sử dụng chứng chỉ đăng nhập SSH để có quyền truy cập vào siêu máy tính, với chứng chỉ đăng nhập bị hack thuộc về các trường đại học ở Ba Lan và Trung Quốc.
I took a look at the recent attacks against Supercomputers and found some more details on attacks against Supercomputers in the UK, US, Germany and elsewhere -> https://t.co/EXdxB2jPI1 pic.twitter.com/3gOaLKCfyQ
— chris doman (@chrisdoman) May 16, 2020
“Tôi đã xem qua các cuộc tấn công gần đây đối với Siêu máy tính và tìm thấy một số chi tiết khác trong cuộc tấn công Siêu máy tính ở Anh, Mỹ, Đức và nơi khác”.
Tại thời điểm viết bài, không có nhóm nào công khai đi trước chịu trách nhiệm về vụ tấn công. Không có lỗ hổng khác được báo cáo vào ngày 18/5, cho thấy cuộc tấn công có thể không hoạt động hiện tại.
Trong khi đó, XMR dường như là mục tiêu dễ dàng cho những miner bất hợp pháp. Trong lịch sử, tiền điện tử từng là trung tâm của nhiều cuộc tấn công phần mềm độc hại.
Dislaimer: Đây là thông tin cung cấp dưới dạng blog cá nhân, không phải thông tin tổng hợp hay lời khuyên đầu tư. Chúng tôi không chịu trách nhiệm về các quyết định đầu tư của bạn.
