Izdelava botneta za rudarjenje bitcoin brez stroškov

Na konferenci Black Hat 2014 v Las Vegasu sta Rob Ragan in Oscar Salazar, preizkuševalca prodornosti Bishop Fox, demonstrirala tehniko za rudarjenje z bitkoni v oblaku, ki ju je stala natančno… nič. V tem trenutku je en bitcoin vreden 576, 57 dolarja. S tako zajetnim menjalnim tečajem bi bilo lahko pridobivanje bitcoinov brez potrebe po namenjanju ogromnih računalniških virov precej donosno.

Ne gre ravno za zakonito dejavnost, vendar je naloga preizkuševalca prodora taksist na sisteme, da bi jih zakrpal. Ragan je opozoril, da je poskus "kršil vrag nekaterih pogojev storitve." Za dostop do potrebne procesne moči so morali ustvariti ogromno edinstvenih e-poštnih naslovov in se prijaviti na tone brezplačnih preskusnih računov. Ko so to storili, jim je uspelo zgraditi popolnoma funkcionalen botnet za rudarjenje z bitcoini. Po Raganovem mnenju "tega botneta ne označijo kot zlonamerno programsko opremo, blokirajo ga spletni filtri ali ga prevzamejo. To so stvari nočne more!"

Izkopavanje podrobnosti

"Smo preizkuševalci penetracije, " je dejal Ragan. "Na tem projektu smo delali zadnje leto. Pokazali smo, da zagotovo lahko zgradimo botnet iz prosto dostopnih storitev v oblaku. Zastavili smo vprašanje, ali je premajhna protiavtomatizacija spregledana nevarnost? Ali bi ga lahko šteli za prvo deseterico ranljivost?"

"Te storitve v oblaku naredijo veliko različnih stvari, " je dejal Salazar, "vendar je njihov namen razvijalcem omogočiti, da takoj začnejo nekaj delovati." "Iz njega se izvleče vsa noga in vam omogoči čim hitrejšo izdelavo aplikacije, " je dodal Ragan. "Platforma kot storitev je blago, po katerem je veliko povpraševanja. Če pa olajša življenje razvijalca, ali to ne bi olajšalo tudi zlonamernemu napadalcu? Prav to smo raziskali."

Neomejeni naslovi po e-pošti

Vsi imamo izkušnjo z registracijo spletnega mesta ali storitve in povedali smo, da bo registracija zaključena, ko kliknemo na e-poštno povezavo. Naši temeljiti raziskovalci so potrebovali način, da ta postopek popolnoma avtomatizirajo.

Na seji je natančno razloženo, kako jim je uspelo ustvariti neomejene e-poštne račune z realnimi uporabniškimi imeni in široko paleto različnih domen. Naslednji korak je bila nastavitev samodejnega odziva za te račune, da bodo lahko odgovorili na katero koli e-pošto "Kliknite to povezavo za potrditev". Delovalo je! Na tej točki so imeli sistem za ustvarjanje neomejenih edinstvenih e-poštnih sporočil brez človeške interakcije. Vse podrobnosti so shranili z brezplačno preizkusno različico sistema MongoDB v oblaku. Da, udeleženci bodo lahko dobili vso kodo, ki je bila uporabljena v tem poskusu.

Zabavne dejavnosti!

"V tem trenutku lahko počnemo stvari, kot so DDoS, rudarjenje kripto valut, shranjevanje podatkov in še več, " je dejal Ragan. "Kot preizkuševalci penetracije je bil cilj imeti razdeljeni botnet pod našim nadzorom." Zagotovo je bilo koristno ukrojenega botneta za zagon preizkusov DDoS z belimi klobuki proti voljnim strankam.

Eksperimentirali so le s tem, kaj je mogoče, če imate e-poštne naslove za neomejeno število "prijateljev". Številni spletni sistem za shranjevanje vam daje dodatne gigabajte za uspešno napotitev prijateljev. Nekateri omejijo skupni znesek, ki ga lahko pridobite na ta način, drugi ne. "Za eno storitev imamo brezplačen terabajt, " je dejal Ragan, "kar je več, kot lahko sploh plačate."

Na vrhuncu je eksperimentalni botnet za rudarjenje LiteCoin ustvaril približno 25 centov na račun. Z 1.000 aktivnimi računi je to 250 dolarjev na dan. "Nismo želeli biti zlonamerni, samo da bi pokazali, kako je to storjeno, " je rekel Ragan, "zato smo se ustavili. A slišali smo, da so ljudje v kratkem zaslužili veliko denarja. Pustili smo nekaj računov, da delujejo nekaj tednov, samo da vidim, ali jih bodo odkrili. Niso bili."

Antiavtomatizacija

V času eksperimenta so številne službe pregledale svoje verifikacijske sisteme, da so onemogočile samodejno ustvarjanje računov. Eden od razlogov je bil celo širjenje botnetov.

Seveda cilj te vaje ni bil ustvariti slabo pridobljene dobičke. Zdaj, ko je jasno, kaj je mogoče storiti s preskusnimi računi, bodo verjetno ponudniki dodali več zaščite, da preprečijo zlorabe svojih sistemov. "Obstaja veliko načinov za prepoznavanje ljudi brez motečih uporabnikov, " je dejal Ragan. Omenil je primere, ki vključujejo logične uganke, potrjevanje s kreditno kartico in celo operaterje v živo. Zdi se jasno, da bo verjetno vsak oblak v strežniku brez pomembne protiavtomatizacije imel več botnetov kot resnični uporabniki.