Una nuova campagna sfrutta Selenium Grid per il mining di Monero

I ricercatori di Wiz hanno scoperto una nuova campagna in corso che sfrutta i servizi Selenium Grid per effettuare mining di Monero. Soprannominata “SeleniumGreed“, gli attacchi fanno leva su server mal configurati dei servizi per eseguire un cryptominer.

Pixabay

Grid è un componente della suite Selenium che offre un API che consente di eseguire e interagire con browser web sulle macchine registrare. Insieme a IDE, Builder e WebDriver permettere di gestire in maniera automatizzata i browser ed è usato principalmente come framework di testing.

I ricercatori spiegano che poiché Grid è pensato solo per l’utilizzo nelle reti aziendali interne, non offre controlli di sicurezza. “Idealmente, questi servizi non dovrebbero mai essere esposti su Internet” scrive il team di Wiz Research. Il componente non ha nemmeno meccanismi di autenticazione: qualsiasi utente con accesso web all’hub di gestione può interagire con le singole macchine registrate, il che comporta un rischio di sicurezza molto elevato se il servizio vien eseguito su una macchina connessa alla rete pubblica e con protezione inadeguata.

Inizialmente gli attaccanti inviano una richiesta all’hub di Grid vulnerabile contenente uno script, il quale a sua volte contiene un payload decodificato in base64. Il payload in questione crea una reverse shell per eseguire ulteriori comandi, tra i quali il download e l’esecuzione del miner.

Il miner è XMRig, un software open-source di cryptomining molto comune tra i cyberattaccanti, che viene fatto eseguire in background. Stando all’analisi dei ricercatori, il gruppo dietro quest’ultima campagna sarebbe attivo da più di un anno.

Nella documentazione di Grid, Selenium sottolinea l’importanza di non esporre il servizio sul web pubblico a causa dell’assenza di meccanismi di sicurezza, elencando i rischi che ne conseguirebbero, ma evidentemente l’avviso non è stato recepito correttamente da tutte le organizzazioni.

Nella campagna individuata dai ricercatori, gli attaccanti hanno usato una vecchia versione di Selenium (v.3.141.59) per eseguire comandi da remoto, ma il team ha confermato che è possibile eseguire lo stesso attacco anche nelle ultime versioni; per questo è probabile che la campagna si evolva per colpire le release più nuove.

Aggiornare il software in questo caso è inutile: poiché Grid è per sua natura vulnerabile, per proteggersi dagli attacchi è consigliato o rendere le macchine raggiungibili solo da rete interna, oppure implementare controlli di sicurezza mirati per restringere gli accessi e impostare meccanismi di autenticazione robusti.