Новая хакерская группировка CRYSTALRAY использует червей для хищения данных и криптовалюты

Исследователи из Sysdig сообщили о новой киберпреступной группе CRYSTALRAY, которая с февраля этого года похитила учётные данные уже более 1500 жертв и установила криптомайнеры на их системы.

Данное хакерское объединение использует червя SSH-Snake, который ворует SSH-ключи со взломанных серверов и самостоятельно распространяется по скомпрометированным сетям. Ранее было известно около 100 жертв в рамках деятельности киберпреступников, но сейчас их число выросло до вышеозвученных 1500, пишет Securitylab.

CRYSTALRAY использует массовое сканирование через сервисы наподобие Shodan, эксплуатирует уязвимости и устанавливает бэкдоры. В своих атаках преступники применяют инструменты zmap, asn, httpx, nuclei, platypus и SSH-Snake.

Основная цель группы — кража и продажа учётных данных, установка криптомайнеров и сохранение доступа к системам жертв. Они используют модифицированные эксплойты и инструментарий Sliver.

CRYSTALRAY активно использует в своей деятельности следующие уязвимости:

• CVE-2022-44877: уязвимость в Control Web Panel (CWP);
• CVE-2021-3129: ошибка в Ignition (Laravel);
• CVE-2019-18394: уязвимость в Ignite Realtime Openfire.

Sysdig сообщает, что продукты Atlassian Confluence, вероятно, также являются мишенью, основываясь на наблюдаемых схемах эксплуатации, возникающих в результате попыток взлома 1800 IP-адресов, треть из которых находится в США.

CRYSTALRAY использует веб-менеджер Platypus для обработки нескольких сеансов обратной оболочки во взломанных системах. В то же время SSH-Snake продолжает оставаться основным инструментом, с помощью которого достигается распространение по скомпрометированным сетям.

После получения SSH-ключей червь SSH-Snake использует их для входа в новые системы, копирования себя и повторения процесса на новых хостах. Более того, SSH-Snake не только распространяет заражение, но и отправляет захваченные ключи и истории атак обратно на C2-сервер хакеров, предоставляя возможности для дальнейших атак.

CRYSTALRAY продаёт украденные учётные данные в даркнете и Telegram. Кроме того, за счёт криптомайнеров во взломанных системах хакеры зарабатывают около $200 в месяц. С апреля злоумышленники изменили конфигурацию, поэтому их текущий доход неизвестен.