Un voleur en ligne vole un compte Amazon pour exploiter des Litecoins dans le Cloud

Pourquoi s’embêter à installer des logiciels malveillants de minage de CPU sur des milliers de machines, alors que vous pouvez simplement pénétrer dans le compte de cloud computing Amazon de quelqu’un et créer à la place un centre de données bien géré ?

Cette semaine, un développeur de logiciels a découvert que quelqu'un avaitfait exactement cela, et s'est enfui avec un tas de litecoins à ses frais.

Luke Chadwick, un programmeur basé à Melbourne, a eu un choc désagréable après avoir reçu un e-mail d'Amazon. L'entreprise lui a indiqué que sa clé Amazon (un identifiant de sécurité utilisé pour se connecter aux services Web d'Amazon) avait été trouvée sur ONEun de ses appareils. Dépôts Github.

Dépôts Github

Github est un système de contrôle de version en ligne utilisé pour le développement collaboratif de logiciels. Il fonctionne à l'aide d'un référentiel central contenant le code source d'un projet logiciel.

Le code source atteint le site lorsque l'auteur « pousse » le répertoire le contenant vers Github, en répliquant l'ensemble en y créant un référentiel.

Lorsque l'auteur choisit de rendre ce référentiel public, d'autres développeurs de logiciels peuvent le « forker », produisant une copie du référentiel pour leur propre usage, qui est ensuite « clonée » ou copiée sur leurs ordinateurs locaux.

[post-citation]

Une fois qu'ils ont apporté leurs propres contributions au projet, soit en modifiant soit en ajoutant un nouveau code source, ils peuvent synchroniser leur code avec le référentiel forké, puis demander à l'auteur d'origine de « récupérer » leurs contributions dans le référentiel d'origine.

Malheureusement, certains développeurs de logiciels stockent sans le savoir des « clés » numériques utilisées pour accéder aux services en ligne dans ces répertoires.

Tant que le dépôt Github est privé, ONE d'autre ne peut les voir. Mais dès qu'ils le rendent public, le répertoire devient consultable et d'autres peuvent créer le dépôt, accédant aux clés.

Ce c'est déjà arrivé sur Githubavec un type de certificat numérique appelé SSH (Secure Shell), qui peut permettre aux attaquants d’accéder à l’ordinateur d’un développeur de logiciel. Et c’est également arrivé à Chadwick. Il a déclaré :

« Le problème était le même (intégré dans les dépôts GitHub), mais c'est différent des clés SSH, qui ne pouvaient être utilisées que pour se connecter à une instance existante. »

« Ces clés étaient destinées à l’API d’Amazon et pouvaient être utilisées pour créer de nouvelles machines. » C’est ce qu’a fait l’attaquant.

1 427 heures d'instance

Après avoir appris que la clé avait été trouvée dans son référentiel, Chadwick s'est connecté et a trouvé une facture de 3 420 $. L'utilisateur non autorisé avait créé 20 machines virtuelles Amazon. Au total, il avait utilisé 1 427 « heures d'instance », ce qui signifie qu'il y était probablement resté un peu moins de trois jours.

Chadwick voulait sauvegarder les instances de machines virtuelles à des fins médico-légales, mais ne pouvait T se permettre de les laisser fonctionner tout en jouant pour le support d'Amazon, alors il les a supprimées.

Cependant, juste avant de le faire, il a attaché le volume de stockage de ONEun à sa propre instance de machine virtuelle. Il a découvert que l'utilisateur non autorisé avait miné des litecoins avec les cycles CPU volés.

En termes de performances informatiques, l'attaquant a fait un usage efficace du compte volé, en créant une machine virtuelle dans la classe « calcul optimisé ». L'instance cc2.8xlarge qu'ils ont choisie dispose d'un processeur 64 BIT avec 32 CPU virtuels et 88 Unités de calcul EC2’.

Scrypt convivial pour le processeur

Litecoin utilise un mécanisme de preuve de travail appelé scrypt, conçu pour être compatible avec le processeur et résistant aux GPU et aux ASIC. Cela rend une instance EC2 hautes performances parfaite pour cette tâche, car la puissance brute du processeur est ce qu'elle fait de mieux.

D'autres personnes ayant mis en place des instances de minage de scrypt légitimes sur EC2 (bien qu'elles minent du YaCoin et non du Litecoin , et dans un autre type de scrypt) affirment avoir vu des performances de 750 Khashes/sec <a href="http://www.yacoin.org/yac-illustrated-step-by-step-guide-to-starting-your-own-aws-yac-server-farm/">http://www.yacoin.org/yac-illustrated-step-by-step-guide-to-starting-your-own-aws-yac-server-farm/</a> par instance. Les 20 machines de l'attaquant auraient donc miné à environ 15 Mhashes/sec lorsqu'elles fonctionnaient ensemble.

En analysant le volume qu'il a monté sur sa propre machine virtuelle, Chadwick a découvert que l'attaquant avait utilisé le pool de minage Litecoin piscine-x.eupour les pièces. À1,156 GH/sec, ce pool représente environ 1,1 % du taux de hachage total du Litecoin , ce qui suggère que lors de l'exploitation minière, l'attaquant aurait pu représenter environ 1 % du taux de hachage global du pool.

Hors de la piscine

L'administrateur du pool, qui a envoyé un courrier depuis ses vacances en Thaïlande, a préféré ne pas donner son nom, mais utilise le pseudonyme « g2x3k ». Il s'est excusé de ne pas avoir répondu au courrier électronique de Chadwick. Il pense que le vol de cycles de processeur se produit souvent dans le secteur du minage de Litecoin .

« En général, je ferme les comptes sur Request», a-t-il déclaré, ajoutant qu’il avait déjà banni des adresses IP sur Request . « Même si je les ferme, ils peuvent toujours créer un pool ou exploiter une mine en solo avec ces ressources.

« J'ai une liste d'adresses IP d'Amazon déjà interdites, car elles ont été utilisées au début du Litecoin pour miner plus que ce que je pensais être une part équitable », a-t-il poursuivi.

Espérons pour le bien de l'attaquant qu'ils ont vendu tôt (ou pour le bien de la justice, qu'ils ne l' ont pas fait). Chadwick a découvert les instances et les a fermées le lundi 16 décembre, soit le même jour que le prix du Litecoin a commencé à s'effondrer.

Si le voleur de cloud ne vendait T ses pièces au fur et à mesure, il aurait pu perdre un profit considérable.

Chadwick ne pense T qu'il soit très facile de retrouver l'agresseur. « Bien que je sois sûr qu'Amazon possède des informations (tout comme le pool), je m'attends à ce que la personne utilise Tor », a-t-il déclaré.

Entre-temps, Amazon a pris les choses en main et a remboursé Chadwick.

CadenasImage via Shutterstock