Servidores exchanges han sido burlados y usados para minar criptomonedas

Sophos emitió un informe donde describió la vulnerabilidad que experimentó ProxyLogon frente a unos cuantos servidores de Microsoft exchanges utilizados para la industria de minado. En la publicación de Microsoft se detalló la vulnerabilidad que tiene su producto.

Por su parte, Sophos detectó una gran cantidad de ataques a través de malware y exploits, aumentando desde una básica webshells a ransomware. En los análisis realizados por SophosLabs se reveló como un atacante anónimo ha intentado aprovecharse de ProxyLogon. En este sentido, ProxyLogon es un exploits que permite la instalación de un minero en el servidor.

Estos ataques inician cuando un comando de PowerShell posee un fichero identificado como “win_r.zip” proveniente de otros servidores comprometidos, por ejemplo el path “/owa/auth” asociado al sitio web de Outlook.

En este orden, es necesario aclarar qué “.zip” es básicamente un script BAT que posee un ejecutor “certutil.exe” comprendido de Windows, el cual contribuye en las descargas de otros ficheros adicionales. Tal es el caso de win_d.zip y win_s.zip. No obstante, es válido aclarar que no pertenecen a los ficheros originales de zip.

Payload

Inicialmente, el fichero inscrito en el sistema es “QuickCPU.b64”. En este caso, el payload se codifica en la base conocida como base64, a su vez incluye el inicio y el fin de las típicas cabeceras con certificación digital. Así, el payload se descifra con “certutil.exe”.

Luego de que se descifra y se ejecuta, se debe extraer el minero y, junto con él, su configuración. Seguidamente se introduce en el procesamiento de los sistemas y posteriormente se eliminan todas las evidencias. Aunado a esto, el ejecutor tiene una versión mejorada en sus herramientas contando con “PEx64-Injector”, el cual tiene disponibilidad en Github.

En este sentido, el ejecutor x64 puede migrar a otros procesos x64. Asimismo, el binario se suele ejecutar estando marcado como un componente más de Windows y, a pesar de no poseer firma, sirve para pasar desapercibido en usuarios inexpertos. Esto se debe a que su nombre tiene similitud con otras utilidades legítimas del sistema.

El minero que se instala recibe el nombre de xmr-stak, el cual posee una configuración que mantiene segura la conexión que hay entre el programa de minado y el monedero de Monero. Por otra parte, se ubica otro fichero “pools.txt”; este tiene datos importantes del atacante (nombre, claves, dirección, entre otros).

Según los datos aportados por la blockchain, el monedero inició la recepción de monedas desde el 9 de marzo. Desde ese momento, cuando los administradores experimentan un parcheo, el atacante pierde más servidores. Sin embargo, se ha ido recuperando tanto que ha obtenido una velocidad de minado de 1 Mh/s.

Recomendaciones

Una forma de estar a salvo de un posible ataque es mantener actualizado el Microsoft Exchange. También es recomendable, como medida adicional, verificar la lista de los indicadores y prestar atención a cualquier amenaza. Son medidas sencillas de adoptar, siempre y cuando se esté familiarizado con el uso del servidor.

Este artículo es de origen informativo, recuerda hacer siempre tu propia investigación.