Neuer CAI-Cloud-Wurm zielt auf Entwicklerinfrastruktur, entfernt konkurrierende Malware und setzt Miner ein

Sicherheitsforscher berichten, dass sich ein neuer, auf Cloud-Umgebungen ausgerichteter Wurm in Entwickler- und Containerumgebungen verbreitet, Zugangsdaten stiehlt, Kryptowährungen schürft und konkurrierende Malware von infizierten Systemen entfernt.

Die Bedrohung, die als Cloud AI Infrastructure Attack Framework oder kurz CAI verfolgt wird, scheint als zentralisiertes Botnetz konzipiert zu sein, das auf Cloud-native-Dienste wie Docker, Kubernetes, Redis, etcd, Kubelet und Ray abzielt. Nach Angaben der Forscher nutzt sie automatisierte Scan- und Exploit-Abläufe, um exponierte Systeme zu finden und nach dem Zugriff weitere Schadsoftware einzuschleusen.

Den Forschern zufolge beschränkt sich CAI nicht darauf, unbemerkt Geheimnisse abzugreifen. Die Malware sucht außerdem nach Prozessen, die mit anderen Würmern zum Diebstahl von Zugangsdaten in Verbindung stehen, darunter TeamPCP und PCPJack, und beendet diese. Dieses Verhalten deutet darauf hin, dass die Betreiber den Wettbewerb auf kompromittierter Infrastruktur reduzieren und die Kontrolle über infizierte Hosts für sich behalten wollen.

Michael Rippey, Sicherheitsforscher bei Hunt.io, sagte, die ersten Anzeichen für CAI seien am 15. Juni beobachtet worden, als das Unternehmen offene Verzeichnisse entdeckte, die dem Betreiber zugeordnet wurden. In den darauffolgenden Wochen soll sich die Aktivität von Testcode zu aktiven Deployments entwickelt haben. Rippey zufolge weist die Kampagne Anzeichen einer schrittweisen Weiterentwicklung auf und könnte mithilfe großer Sprachmodelle entstanden sein – darauf deuten der Codierungsstil und Kommentare in den Skripten hin.

Sicherheitsforscher berichten, dass das aktuelle CAI-Toolkit drei wesentliche Payloads an kompromittierte Systeme ausliefert:

• Kryptowährungs-Miner
• Komponenten zum Diebstahl von Zugangsdaten
• eine Python-Backdoor für anhaltenden Zugriff

Protokolle der Command-and-Control-Infrastruktur deuten Berichten zufolge auf aktive Ausnutzungsversuche und erfolgreiche Kompromittierungen hin; zudem wurde mit der Operation verbundene Wallet-Aktivität festgestellt. Obwohl die Malware nicht als besonders fortschrittlich beschrieben wird, ist sie den Forschern zufolge effektiv und auf Persistenz in Cloud-Umgebungen ausgelegt, in denen exponierte Entwicklertools weitreichenden Zugriff ermöglichen können.

CAI scheint einen breiteren Trend widerzuspiegeln, bei dem Bedrohungsakteure zunehmend sowohl die Infrastruktur anderer Angreifer als auch die Cloud-Dienste ihrer Opfer ins Visier nehmen. Analysten warnen, dass die zunehmende Verbreitung konkurrierender Würmer und Supply-Chain-Angriffe bedeutet, dass Entwickler und Verteidiger exponierte Dienste genau überwachen, unnötige Zugriffe einschränken und auf Anzeichen für das unbefugte Beenden von Prozessen oder unerwartete Mining-Aktivitäten achten sollten.