ShadowRay 2.0 khai thác lỗ hổng Ray để xây dựng botnet đào tiền điện tử GPU

[Starlink]

Oligo Security đã cảnh báo về các cuộc tấn công đang diễn ra nhằm khai thác lỗ hổng bảo mật đã tồn tại hai năm trong nền tảng trí tuệ nhân tạo (AI) nguồn mở Ray để biến các cụm bị nhiễm GPU NVIDIA thành mạng botnet khai thác tiền điện tử tự sao chép.

Hoạt động này có tên mã là ShadowRay 2.0, là sự phát triển của đợt tấn công trước đó được quan sát thấy từ tháng 9 năm 2023 đến tháng 3 năm 2024. Về cơ bản, cuộc tấn công này khai thác lỗi xác thực nghiêm trọng bị thiếu (CVE-2023-48022, điểm CVSS: 9,8) để kiểm soát các trường hợp dễ bị tấn công và chiếm đoạt sức mạnh tính toán của chúng để khai thác tiền điện tử bất hợp pháp bằng XMRig.

Lỗ hổng bảo mật này vẫn chưa được vá do " quyết định thiết kế lâu dài " phù hợp với các phương pháp phát triển tốt nhất của Ray, yêu cầu phải chạy trong mạng riêng biệt và hoạt động dựa trên mã đáng tin cậy.

Chiến dịch này bao gồm việc gửi các tác vụ độc hại, với các lệnh từ trinh sát đơn giản đến các payload Bash và Python phức tạp nhiều giai đoạn, đến một API Gửi Tác vụ Ray chưa được xác thực ("/api/jobs/") trên các bảng điều khiển bị lộ. Các cụm Ray bị xâm nhập sau đó được sử dụng trong các cuộc tấn công kiểu "spray and pray" (xịt và cầu nguyện) để phân phối payload đến các bảng điều khiển Ray khác, tạo ra một loại sâu máy tính có thể lây lan từ nạn nhân này sang nạn nhân khác.

Các cuộc tấn công đã được phát hiện lợi dụng GitLab và GitHub để phát tán phần mềm độc hại, sử dụng các tên miền như "ironern440-group" và "thisisforwork440-ops" để tạo kho lưu trữ và lưu trữ các mã độc. Cả hai tài khoản đều không thể truy cập được nữa. Tuy nhiên, tội phạm mạng đã đáp trả các nỗ lực gỡ bỏ bằng cách tạo một tài khoản GitHub mới, minh chứng cho sự kiên trì và khả năng nhanh chóng khôi phục hoạt động.

Các tải trọng này lần lượt tận dụng khả năng phối hợp của nền tảng để chuyển hướng sang các nút không kết nối internet, phát tán phần mềm độc hại, tạo các shell ngược cho cơ sở hạ tầng do kẻ tấn công kiểm soát để điều khiển từ xa và thiết lập tính bền bỉ bằng cách chạy tác vụ cron cứ sau 15 phút để kéo phiên bản mới nhất của phần mềm độc hại từ GitLab để lây nhiễm lại các máy chủ.

Các nhà nghiên cứu Avi Lumelsky và Gal Elbaz cho biết: "Những kẻ đe dọa đã biến các tính năng điều phối hợp pháp của Ray thành công cụ cho hoạt động khai thác tiền điện tử tự lan truyền trên toàn cầu, tự động lây lan trên các cụm Ray bị lộ".

Chiến dịch này có thể đã sử dụng các mô hình ngôn ngữ lớn (LLM) để tạo ra các payload GitLab. Đánh giá này dựa trên "cấu trúc, chú thích và các mẫu xử lý lỗi" của phần mềm độc hại.

Chuỗi lây nhiễm bao gồm một bước kiểm tra rõ ràng để xác định xem nạn nhân có ở Trung Quốc hay không, và nếu có, nó sẽ phục vụ một phiên bản phần mềm độc hại dành riêng cho từng khu vực. Nó cũng được thiết kế để loại bỏ sự cạnh tranh bằng cách quét các quy trình đang chạy để tìm các trình khai thác tiền điện tử khác và chấm dứt chúng - một chiến thuật được các nhóm khai thác tiền điện tử áp dụng rộng rãi để tối đa hóa lợi nhuận khai thác từ máy chủ.

Một khía cạnh đáng chú ý khác của các cuộc tấn công là việc sử dụng nhiều chiến thuật khác nhau để tránh bị phát hiện, bao gồm ngụy trang các tiến trình độc hại thành các dịch vụ kernel worker Linux hợp pháp và giới hạn mức sử dụng CPU ở mức khoảng 60%. Người ta tin rằng chiến dịch này có thể đã diễn ra từ tháng 9 năm 2024.

Mặc dù Ray được thiết kế để triển khai trong "môi trường mạng được kiểm soát", nhưng kết quả nghiên cứu cho thấy người dùng đang để lộ máy chủ Ray trên internet, tạo ra một bề mặt tấn công béo bở cho kẻ xấu và xác định địa chỉ IP bảng điều khiển Ray nào có thể bị khai thác bằng công cụ phát hiện lỗ hổng nguồn mở   Đăng nhập để xem liên kết. Hơn 230.500 máy chủ Ray có thể truy cập công khai.

Anyscale, công ty phát triển Ray ban đầu, đã phát hành công cụ "Ray Open Ports Checker" để xác thực cấu hình cụm phù hợp nhằm ngăn chặn việc lộ lọt dữ liệu ngoài ý muốn. Các chiến lược giảm thiểu khác bao gồm cấu hình quy tắc tường lửa để hạn chế truy cập trái phép và thêm quyền xác thực vào cổng Ray Dashboard (mặc định là 8265).

Oligo cho biết: "Những kẻ tấn công đã triển khai sockstress, một công cụ khai thác trạng thái TCP, nhắm vào các trang web sản xuất. Điều này cho thấy các cụm Ray bị xâm nhập đang được sử dụng làm vũ khí cho các cuộc tấn công từ chối dịch vụ, có thể nhắm vào các nhóm khai thác cạnh tranh hoặc cơ sở hạ tầng khác".

"Điều này biến hoạt động khai thác tiền điện tử thuần túy thành một mạng botnet đa năng. Khả năng phát động các cuộc tấn công DDoS bổ sung thêm một hướng kiếm tiền khác - kẻ tấn công có thể cho thuê dung lượng DDoS hoặc sử dụng nó để loại bỏ đối thủ cạnh tranh. Cổng mục tiêu 3333 thường được các nhóm khai thác sử dụng, cho thấy các cuộc tấn công nhắm vào cơ sở hạ tầng khai thác của đối thủ."