Злоумышленник проник в Linux через открытый агент Ray для майнинга
В ходе вторжения REF3364 для майнинга криптовалюты актор скомпрометировал три хоста с GPU через открытый агент заданий Ray. Позже майнер для GPU развернули на двух скомпрометированных хостах.
Внешнее зондирование началось 22 октября 2026 года. После этого актор использовал задания Ray, чтобы собрать сведения о GPU и запустить обратную оболочку на Python. Получив права root, он развернул инструментарий в каталоге /opt/vadi_, установил модуль ядра с помощью DKMS и настроил загрузчик initramfs для повторной загрузки модуля при запуске системы.
Основной компонент инструментария, SANSAR, это оркестратор на Rust, который управляет майнерами для CPU и GPU через сеть Tor с помощью библиотеки Arti. Он собирает сведения о GPU и CPU, а также публичный IP-адрес хоста, регистрируется на контроллере с временной меткой и полем аутентификации HMAC-SHA256 и периодически отправляет сигналы активности. Бинарный протокол команд поддерживает настройку майнеров, обновление, остановку, получение вывода и интерактивные сеансы оболочки.
Оболочка SANSAR запускает Bash в псевдотерминале без сохранения истории. В ней также работают проверки на отладку по значению TracerPid и времени выполнения цикла.
В инструментарий входит обёртка NVIDIA Management Library (NVML). Она заменяет стандартную точку входа библиотеки и сохраняет подлинную библиотеку для вызовов на уровне бэкенда. Обёртка подменяет показания GPU, скрывая майнинговую активность от средств мониторинга. Руткит ядра acpi_thermal_mgr скрывает выбранные процессы, файлы и записи сокетов.
Отдельный бэкдор netns установлен как служба systemd. Он получает адрес управления из смарт-контракта Ethereum, затем напрямую соединяется с контроллером и предоставляет доступ к командной строке.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
