Peneliti Ungkap Teknik Penambangan Kripto yang Tidak Terdeteksi di Azure Automation

Cyberthreat.id - Peneliti keamanan siber mengembangkan penambang mata uang kripto berbasis cloud pertama. Penambang ini tidak terdeteksi dan memanfaatkan layanan Microsoft Azure Automation tanpa memungut biaya.

Perusahaan keamanan siber SafeBreach mengatakan pihaknya menemukan tiga metode berbeda untuk menjalankan penambang, termasuk salah satu metode yang dapat dijalankan di lingkungan korban tanpa menarik perhatian apa pun.

“Meskipun penelitian ini penting karena potensi dampaknya terhadap penambangan mata uang kripto, kami juga yakin penelitian ini memiliki implikasi serius pada bidang lain, karena teknik ini dapat digunakan untuk menyelesaikan tugas apa pun yang memerlukan eksekusi kode di Azure,” kata peneliti keamanan Ariel Gamrian di sebuah laporan dibagikan dengan The Hacker News.

Studi ini terutama bertujuan untuk mengidentifikasi "penambang kripto terbaik" yang menawarkan akses tak terbatas ke sumber daya komputasi, sekaligus memerlukan sedikit atau tanpa pemeliharaan, bebas biaya, dan tidak terdeteksi.

Di sinilah Azure Automation berperan. Dikembangkan oleh Microsoft, ini adalah layanan otomatisasi berbasis cloud yang memungkinkan pengguna mengotomatiskan pembuatan, penerapan, pemantauan, dan pemeliharaan sumber daya di Azure.

SafeBreach mengatakan mereka menemukan bug dalam kalkulator harga Azure yang memungkinkan untuk mengeksekusi pekerjaan dalam jumlah tak terbatas secara gratis, meskipun ini berkaitan dengan lingkungan penyerang itu sendiri. Microsoft telah mengeluarkan perbaikan untuk masalah ini.

Metode alternatif memerlukan pembuatan tugas pengujian untuk penambangan, diikuti dengan menetapkan statusnya sebagai "Failed", lalu membuat tugas pengujian tiruan lainnya dengan memanfaatkan fakta bahwa hanya satu pengujian yang dapat dijalankan pada waktu yang sama.

Hasil akhir dari alur ini adalah menyembunyikan sepenuhnya eksekusi kode dalam lingkungan Azure.

Pelaku ancaman dapat memanfaatkan metode ini dengan membuat shell terbalik ke server eksternal dan mengautentikasi ke titik akhir Automation untuk mencapai tujuannya.

Selain itu, ditemukan bahwa eksekusi kode dapat dicapai dengan memanfaatkan fitur Azure Automation yang memungkinkan pengguna mengunggah paket Python kustom.

“Kita bisa membuat paket berbahaya bernama 'pip' dan mengunggahnya ke Akun Automation,” jelas Gamrian.

"Alur pengunggahan akan menggantikan pip saat ini di akun Automation. Setelah pip khusus kami disimpan di akun Automation, layanan menggunakannya setiap kali paket diunggah."

SafeBreach juga telah menyediakan bukti konsep yang dijuluki CloudMiner yang dirancang untuk mendapatkan daya komputasi gratis dalam layanan Azure Automation dengan menggunakan mekanisme pengunggahan paket Python.

Microsoft, dalam menanggapi pengungkapan tersebut, telah menggolongkan perilaku tersebut sebagai "sesuai desain", yang berarti metode tersebut masih dapat dieksploitasi tanpa dikenakan biaya.

Meskipun ruang lingkup penelitian ini terbatas pada penyalahgunaan Azure Automation untuk penambangan mata uang kripto, perusahaan keamanan siber tersebut memperingatkan bahwa teknik yang sama dapat digunakan kembali oleh pelaku ancaman untuk mencapai tugas apa pun yang memerlukan eksekusi kode di Azure.

“Sebagai pelanggan penyedia cloud, masing-masing organisasi harus secara proaktif memantau setiap sumber daya dan setiap tindakan yang dilakukan dalam lingkungan mereka,” kata Gamrian.

“Kami sangat menyarankan agar organisasi mendidik diri mereka sendiri tentang metode dan alur yang mungkin digunakan pelaku kejahatan untuk menciptakan sumber daya yang tidak terdeteksi dan secara proaktif memantau eksekusi kode yang menunjukkan perilaku tersebut.”[]