Атака на уязвимые серверы с Cacti для майнинга криптовалюты

Как сообщает opennet.ru компания Trend Micro сообщила о выявлении атаки на серверы с открытым доступом к web-интерфейсу необновленной и некорректно настроенной системы мониторинга Cacti. В ходе атаки осуществляется запуск на сервере кода для майнинга криптовалюты Monero. В настоящее время на связанном с атакой кошельке уже накопилось около 320 XMR, что по текущему курсу соответствует 69 тысяч долларов США.

Утверждается, что для запуска кода используется уязвимость в плагине Network Weathermap, которая была устранена еще в 2013 году (в отчете Trend Micro упоминается CVE-2013-2618, но это XSS и, вероятно, атака производится через другую уязвимость, например через CVE-2013-1435, позволяющую выполнить shell-код через манипуляцию с параметрами snmp.php и rrd.php). Через эксплуатацию уязвимости на сервер загружается подставной скрипт conn.php (или cools.php) с бэкдором, который в дальнейшем используется для загрузки кода майнинга, похожего на код, который ранее применялся в ходе атаки на серверы Jenkins.

Вопросы вызывает то, что код загружаемого атакующими скрипта запускается с правами root и записывается в /etc/rc.local. Не уточняется каким образом осуществляется получение прав root, возможно атака производится только на определенные типовые серверы, в которых Cacti, запускается под пользователем root. В пользу этой гипотезы также говорит нетипичное для систем мониторинга наличие доступа к Cacti без аутентификации и использование достаточно специфичного внешнего плагина Network Weathermap.