Uma campanha maliciosa tem explorado instâncias expostas do PostgreSQL para obter acesso não autorizado e implantar mineradores de criptomoeda. A empresa de segurança em nuvem Wiz identificou essa atividade como uma evolução de ataques relatados anteriormente pela Aqua Security em agosto de 2024, envolvendo o malware PG_MEM. Esse ataque foi atribuído ao grupo de ameaças JINX-0126.
Mais de 1.500 servidores PostgreSQL comprometidos em ataque de criptomineração sem arquivo
Os cibercriminosos aprimoraram suas técnicas, implementando estratégias para escapar de mecanismos de defesa. Entre elas, está a implantação de binários exclusivos para cada alvo e a execução de mineradores sem arquivo, evitando soluções de segurança baseadas na reputação de hashes de arquivos.
A Wiz estima que mais de 1.500 servidores PostgreSQL tenham sido comprometidos, evidenciando que credenciais fracas ou previsíveis em instâncias expostas continuam sendo um vetor de ataque relevante para grupos mal-intencionados.
Exploração via SQL COPY … FROM PROGRAM
O método central da campanha envolve o uso do comando SQL COPY ... FROM PROGRAM, permitindo a execução de comandos shell arbitrários no servidor atacado. Uma vez explorada essa vulnerabilidade, os atacantes realizam um reconhecimento inicial e implantam uma carga útil codificada em Base64. Esse script de shell elimina mineradores concorrentes e instala um binário malicioso chamado PG_CORE.
Notícias Relacionadas
Você pode estar em perigo
Dark Web e Seus Perigos: Como Links Comprometidos podem Afetar Seu Nome na Internet
A Dark Web é um dos aspectos mais sombrios e menos compreendidos da internet. Enquanto a web superficial abriga a maioria dos sites que conhecemos, a Dark Web opera em um nível mais profundo e frequentemente está associada a atividades ilegais e conteúdo perturbador. Entretanto, a Dark Web não é apenas um lugar de crime; […]
Mistérios revelados
Desvendando a Dark Web: O Que É e Como Proteger Seus Dados Pessoais
Nos dias atuais, a questão da privacidade e segurança dos dados pessoais nunca foi tão relevante. Com a crescente digitalização de nossas vidas, de informações bancárias a dados de saúde, a necessidade de proteção se torna imperativa. Contudo, dentro do vasto universo da Internet, existe uma parte obscura e muitas vezes mal compreendida: a Dark […]
Outro componente do ataque é um binário Golang ofuscado, denominado postmaster, que se disfarça como um servidor PostgreSQL legítimo. Ele garante a persistência no sistema por meio de um cron job, cria uma nova conta com permissões elevadas e grava um segundo binário, cpu_hu, no disco.
Uso de minerador XMRig sem arquivo
O cpu_hu tem a função de baixar a versão mais recente do minerador XMRig diretamente do GitHub e executá-lo sem arquivo utilizando a técnica memfd, comum em sistemas Linux. Essa abordagem dificulta a detecção por ferramentas de monitoramento de arquivos.
A Wiz também identificou que os atacantes atribuíram trabalhadores de mineração exclusivos a cada servidor comprometido. Foram descobertas três carteiras de criptomoeda vinculadas aos criminosos, cada uma com cerca de 550 trabalhadores, totalizando mais de 1.500 sistemas afetados por essa campanha de criptomineração clandestina.
