PgMiner ботнет атакува слабо защитени бази данни на PostgreSQL

Изследователите по сигурността са открили тази седмица ботнет операция, която е насочена към бази данни на PostgreSQL, за да инсталира копач на криптовалута.

Наречен от изследователите като PgMiner, ботнетът е само последният в дълъг списък от скорошни операции за киберпрестъпления, насочени към уеб технологии за парични печалби.

Според изследователи от отдел 42 на Palo Alto Networks, ботнетът работи чрез извършване на груби атаки срещу достъпни в интернет бази данни PostgreSQL.

Атаките следват прост модел.

Ботнетът произволно избира диапазон от публична мрежа (напр. 18.xxx.xxx.xxx) и след това преминава през всички IP адресира част от този диапазон, търсейки системи, които имат открит PostgreSQL порт (порт 5432) на линия.

Ако PgMiner открие активна PostgreSQL система, ботнетът преминава от фазата на сканиране към своята груба сила, където разбърква дълъг списък с пароли в опит да отгатне идентификационните данни за "postgres", PostgreSQL по подразбиране сметка.

Ако собствениците на база данни на PostgreSQL са забравили да деактивират този потребител или са забравили да променят паролите му, хакерите имат достъп до базата данни и използват PostgreSQL КОПИРАНЕ от ПРОГРАМА функция за ескалиране на техния достъп от приложението за база данни до основния сървър и поемане на цялата операционна система.

След като овладеят по-солидно заразената система, екипът на PgMiner внедрява приложение за копаене на монети и се опитва да изкопае възможно най-много криптовалута Monero, преди да бъдат открити.

Според Unit 42, по време на техния доклад, ботнетът е имал способността само да разгръща копачи на Linux MIPS, ARM и x64 платформи.

Други забележителни характеристики на ботнета PgMiner включват факта, че неговите оператори са контролирали заразените ботове чрез команден и контролен (C2) сървър, хостван в мрежата Tor и че кодовата база на ботнета изглежда приличат ботнетът SystemdMiner.

PgMiner отбелязва втория път, когато операция за копаене на монети е насочена към бази данни на PostgreSQL, с подобни атаки, наблюдавани през 2018 г., извършени от StickyDB ботнет.

Други технологии за бази данни, които също са били насочени към ботнети за крипто копаене в миналото, включват MySQL, MSSQL, Redis и OrientDB.