Sistema Big Data: el inquilino wipefs
Los sistemas Big Data son sistemas con mucha capacidad de proceso lo que los hace muy útiles para ser utilizados por los hackers como máquinas que trabajen para ellos. Ese ha sido nuestro caso y tras analizar el sistema creemos que está siendo utilizado para trabajar en la minería de criptomonedas
Introducción a la minería de criptomonedas
Según la wikipedia: “En los sistemas de criptomonedas, se garantiza la seguridad, integridad y equilibrio de sus estados de cuentas (contabilidad) por medio de un entramado de agentes (transferencia de archivo segmentada o transferencia de archivo multifuente) que se verifican (desconfían) mutuamente llamados mineros, que son, en su mayoría, público en general y protegen activamente la red (el entramado) al mantener una alta tasa de procesamiento de algoritmos, con la finalidad de tener la oportunidad de recibir una pequeña propina, que se reparte de manera aleatoria”
En cuanto a la minería, según bitcoin : “El objetivo principal de la minería es llegar a un consenso entre los nodos de la red en los que las transacciones consideran legítimos”, y “minar es el proceso de agregar registros de transacción al libro de contabilidad de bitcoin sobre transacciones pasadas”
Detectando el problema
Cuando empezamos a plantearnos la métricas observamos que el sistema tenía las CPU al 36%, cuando todavía no le hemos cargado ni los datos de prueba por lo que teníamos un problema
Clúster Big Data
Tras monitorizar el estado de cada uno de los servidores encontramos que, mientras el resto de servidores estaba en reposo, el bigdata1 estaba trabajando a más del 75% por lo que nos centramos en él
Bigdata1 con wipefs
Analizamos los procesos que se están ejecutando y vemos que wipefs estaba usando la CPU en más de 500% así que hay está el virus. Decir que aunque lo matamos con kill, al de un tiempo se volvía a poner marcha y el sistema volvía a estar igual
Estado de los procesos
En el siguiente link podéis ampliar la información sobre el problema
https://id.eas.agency/tag/wipefs/
Auditoria
Llegados a este punto decidimos hacer una “auditoría” con los alumnos (en la medida de nuestros conocimientos) con idea de ver hasta donde estaba infectado nuestro equipo y que estaba haciendo
Acceso a bigdata1 desde la web de Proxmox
Qué hizo en el servidor
Vemos que se habían modificado varios archivos importantes, entre ellos /etc/init.d/rc.local
Archivos modificados
Al mirar el contenido de rc.local encontramos una llamada a DDoSCliente, probablemente el programa utilizado para provocar una denegación de servicio o DoS
Llamada al cliente DDoS en rc.local
Probamos el servicio DNS haciendo ping a una página conocida y nos devolvía IP erróneas por lo que deducimos que también ha sido atacado
Como trabaja
Finalmente, con la ayuda un Hub, y utilizando WireShark monitorizamos las conexiones a Internet y detectamos que se comunica principalmente con tres IPs:
- IP= 94.130.206.79
Internet Protocol Version 4, Src: 192.168.123.210, Dst: 94.130.206.79
Transmission Control Protocol, Src Port: 45352, Dst Port: 80, Seq: 0, Len: 0
Buscando en internet vemos que es de Alemania: Hetzner Online GmbH
- IP=163.17.30.212
Internet Protocol Version 4, Src: 192.168.123.210, Dst: 163.17.30.212
Transmission Control Protocol, Src Port: 42324, Dst Port: 8525, Seq: 0, Len: 0
Que es de Taiwan: Taiwan Academic Network (TANet) Information Center
- IP= 124.251.33.242
Internet Protocol Version 4, Src: 192.168.123.210, Dst: 124.251.33.242
Transmission Control Protocol, Src Port: 44342, Dst Port: 3027, Seq: 0, Len: 0
Buscando con whois vemos que pertenece a China
% [whois.apnic.net] % Whois data copyright terms https://www.apnic.net/db/dbcopyright.html % Information related to ‘124.251.0.0 – 124.251.255.255’ % Abuse contact for ‘124.251.0.0 – 124.251.255.255’ is ‘ipas@cnnic.cn’ inetnum: 124.251.0.0 – 124.251.255.255 netname: CHINA-21VIANET descr: 21ViaNet(China),Inc. descr: BOE Science Park, 10 Jiuxianqiao Road, Chaoyang, descr: Beijing 100016, China
Preguntando a gente entendida nos han dicho que en la minería se suele usar unas conexiones para enviar y recibir datos de la máquina y otras para monetizar el trabajo
Cuarentena
Y hasta aquí llegamos. Dado que no es un sistema en producción, para recuperar el sistema hemos optado por volver a instalar todo de nuevo y hemos dejado el bigdata1 apagado y desconectado del resto del sistema con idea de poder profundizar un poco más
Compártelo en tus redes
