Apenas bancos de dados PostgreSQL em execução em servidores Linux foram atacados até agora.

Pesquisadores de segurança descobriram esta semana uma operação de botnet que visa bancos de dados PostgreSQL para instalar um minerador de criptomoeda.

Chamado de codinome pelos pesquisadores como PgMiner , o botnet é apenas o mais recente de uma longa lista de operações de cibercrime recentes que visam a tecnologia da web para obter lucros monetários.

De acordo com pesquisadores da Unidade 42 da Palo Alto Networks, o botnet opera por meio de ataques de força bruta contra bancos de dados PostgreSQL acessíveis pela Internet.

Os ataques seguem um padrão simples.

O botnet escolhe aleatoriamente um intervalo de rede pública (por exemplo, 18.xxx.xxx.xxx) e, em seguida, itera por todos os endereços IP desse intervalo, procurando por sistemas que tenham a porta PostgreSQL (porta 5432) exposta online.

Se o PgMiner encontrar um sistema PostgreSQL ativo, o botnet passa da fase de escaneamento para sua fase de força bruta, onde embaralha em uma longa lista de senhas na tentativa de adivinhar as credenciais para "postgres", a conta PostgreSQL padrão.

Se os proprietários do banco de dados PostgreSQL se esqueceram de desabilitar este usuário ou se esqueceram de alterar suas senhas, os hackers acessam o banco de dados e usam o recurso PostgreSQL COPY from PROGRAM para escalar seu acesso do aplicativo de banco de dados para o servidor subjacente e assumir todo o sistema operacional.

Depois de ter um controle mais sólido do sistema infectado, a equipe do PgMiner implementa um aplicativo de mineração de moedas e tenta extrair o máximo de criptomoeda Monero antes de serem detectados.

De acordo com a Unidade 42, no momento do relatório, o botnet só tinha a capacidade de implantar mineiros em Linux MIPS, ARM e plataformas x64.

Outros recursos notáveis ​​do botnet PgMiner incluem o fato de que seus operadores controlam bots infectados por meio de um servidor de comando e controle (C2) hospedado na rede Tor e que a base de código do botnet parece se assemelhar ao botnet SystemdMiner.

O PgMiner marca a segunda vez que uma operação de minerador de moedas tem como alvo bancos de dados PostgreSQL, com ataques semelhantes vistos em 2018, realizados pelo botnet StickyDB .

Outras tecnologias de banco de dados que também foram visadas por botnets de mineração de criptografia no passado incluem MySQL, MSSQL, Redis e OrientDB.

Fonte: ZDNet