El malware Z0Miner se propaga a través de servidores Elasticsearch y Jenkins sin parches

Una botnet de minería maliciosa descubierta el año pasado ha pasado a apuntar a servidores Jenkins y Elasticsearch sin parches para minar criptomonedas Monero (XMR).

Según los investigadores de seguridad del Laboratorio de Investigación de Seguridad de Redes de Qihoo 360 (360 Netlab), el equipo de seguridad de Tencent descubrió z0Miner el año pasado explotando la vulnerabilidad de ejecución de comando remoto no autorizado de WebLogic para su propagación. Los investigadores dijeron que varias familias de malware de minería se han vuelto más activas en medio del aumento en los valores de las criptomonedas.

Z0Miner golpeó el año pasado cuando Tencent Security rastreó el malware que explotaba dos errores RCE de autenticación previa de WebLogic rastreados como CVE-2020-14882 y CVE-2020-14883. En ese momento, el equipo de analistas de seguridad estimó que el minero comprometió alrededor de 5000 servidores al enviar "paquetes de datos cuidadosamente construidos" a los sistemas vulnerables. El malware también se movía lateralmente a través de SSH.

Antes de eso, Oracle ya había emitido un boletín de seguridad advirtiendo sobre vulnerabilidades en los componentes de WebLogic. En ese momento, la investigación de la empresa de seguridad cibernética Rapid7 dijo que la falla era "trivial de explotar".

Los investigadores dijeron que el malware ha cambiado desde entonces para buscar e infectar sistemas al explotar las vulnerabilidades de ejecución de comandos remotos en Elasticsearch y Jenkins.

El malware usa exploits dirigidos a una vulnerabilidad RCE de Elasticsearch, rastreada como CVE-2015-1427, y un RCE más antiguo que afecta el servidor Jenkins para comprometer un servidor. Luego descarga un script de shell malicioso para detener a los mineros competitivos. A continuación, configura un trabajo cron para descargar y ejecutar periódicamente scripts maliciosos en Pastebin. Los investigadores dijeron que estos scripts actualmente solo tienen un comando de salida, pero no pudieron descartar la posibilidad de que se agreguen más comandos maliciosos en el futuro.

Luego descarga y ejecuta su software de minería desde tres URL que contienen un archivo de configuración de minería, un minero XMRig y un script de shell de inicio de minero. Según los investigadores, hasta el momento se extrajeron más de 22 XMR valorados en $4600, pero los ciberdelincuentes suelen usar muchas billeteras, por lo que la cifra total podría ser mucho mayor.

Los investigadores recomendaron a los usuarios de Elasticsearch y Jenkins verificar sus instalaciones y actualizarlas para parchear estos exploits lo antes posible. También recomendaron que las organizaciones revisen Elasticsearch y Jenkins en busca de procesos y conexiones de red anormales y que supervisen y bloqueen direcciones IP y URL relevantes.