Злоумышленники подключили европейские суперкомпьютеры к майнингу криптовалют
Сразу несколько суперкомпьютеров, базирующихся в разных странах Европы, подверглись атаке вредоносного программного обеспечения, которое «приспособило» их для майнинга криптовалют. О таких атаках сообщили Великобритания, Германия, Швейцария и Испания. Большинство из этих сверхЭВМ участвовали в программах по созданию лекарств от коронавируса.
Первым кибератаке злоумышленников подвергся суперкомпьютер ARCHER, размещенный в Эдинбургском университете (The University of Edinburgh). Сообщение об этой атаке было впервые обнародовано 11 мая 2020 г. Служба безопасности отключила доступ к суперкомпьютеру ARCHER, а на web-сайте учреждения появились соответствующее сообщение и рекомендация сменить пользовательские пароли и SSH-ключи. По заявлению сотрудников университета, над восстановлением системы, который недавно установил инструмент моделирования пандемии, они работают в сотрудничестве с Центром национальной компьютерной безопасности Великобритании (National Cybersecurity Center, NCSC).
«В Великобритании и других странах Европы были скомпрометированы сразу несколько компьютеров, и мы считаем это серьезной проблемой для всего академического сообщества», - цитируют СМИ заявление ведомства. - «Мы знаем об этом инциденте и оказываем поддержку. NCSC работает с академическим сектором, чтобы помочь ему улучшить свои методы обеспечения безопасности и защитить свои институты от угроз».
В этот же день организация BwHPC, которая организует исследовательские проекты на суперкомпьютерах в регионе Баден-Вюртемберг в Германии, объявила о необходимости приостановить доступ к пяти вычислительным кластерам на территории Германии для проведения расследования «инцидентов безопасности». За несколько последующих дней из-за атак кибер-мошенников была остановлена работа суперкомпьютеров, установленных в Швейцарии, Барселоне и той же Германии. Сообщения поступали из Суперкомпьютерного центра имени Лейбница (Leibniz-Rechenzentrum), института при Баварской академии наук (Bayerische Akademie der Wissenschaften), а также из Юлихского исследовательского центра (Forschungszentrum Jülich GmbH), был закрыт доступ к суперкомпьютерам JURECA, JUDAC и JUWELS. После этих инцидентов Швейцарский Национальный Супервычислительный центр (CSCS) принял решение закрыть внешний доступ к инфраструктуре своих вычислительных кластеров «до восстановления безопасной среды».
Во всех случаях злоумышленники использовали соединение Secure Shell (SSH), которое академические исследователи используют для удаленного входа в систему. Установив контроль над машинами, они развернули вредоносное ПО для майнинга криптовалют.
Как комментируют эксперты по безопасности Фонда Европейской сетевой инфраструктуры (European Grid Infrastructure), в настоящее время вредоносная группа нацелена на академические центры обработки данных для целей майнинга. Злоумышленник «прыгает» от одной жертвы к другой, используя скомпрометированные учетные данные SSH.
Более подробной информации об инцидентах обнародовано не было. Сообщается лишь, что Компьютерная группа реагирования на чрезвычайные ситуации (Computer emergency response team, CERT) опубликовала образцы вредоносных программ и дополнительные данные по некоторым инцидентам.
Предполагается, что учётные данные были украдены у сотрудников университетов Канады, Китая и Польши, которые имели доступ к вычислительным кластерам для проведения разных исследований. Официальных доказательств того, что все атаки были осуществлены одной группой хакеров, нет, сообщают эксперты. Однако на это указывают схожие имена файлов вредоносного ПО и сетевые идентификаторы. Специалисты компании Cado Security считают, что злоумышленники для доступа к суперкомпьютерам использовали эксплойт для уязвимости CVE-2019-15666, а после этого осуществляли развертывание ПО для майнинга криптовалюты Monero (XMR).
Стоит отметить, что большинство закрытых из-за атак суперкомпьютеров присоединились к исследованиям фармацевтических компаний в поисках лекарств от коронавирусной инфекции COVID-19.
«Под крышами университетов рождаются самые передовые исследовательские проекты мира по многим дисциплинам, включая компьютерные науки. Однако они также печально известны своей уязвимостью для атак, если подключены к более широкой университетской вычислительной сети», - считает Джейми Ахтар (Jamie Akhtar), исполнительный директор компании Cybersmart.
Опубликовано 25.05.2020