Il nuovo worm cloud CAI prende di mira l'infrastruttura degli sviluppatori, rimuove malware rivali e distribuisce miner

I ricercatori di sicurezza affermano che un nuovo worm focalizzato sul cloud si sta diffondendo negli ambienti di sviluppo e container, rubando credenziali, estraendo criptovalute e rimuovendo malware concorrenti dai sistemi infetti.

La minaccia, monitorata con il nome di Cloud AI Infrastructure Attack Framework, o CAI, sembra essere strutturata come una botnet centralizzata destinata a servizi cloud-native, tra cui Docker, Kubernetes, Redis, etcd, Kubelet e Ray. Secondo i ricercatori, utilizza flussi di lavoro automatizzati per la scansione e lo sfruttamento delle vulnerabilità, allo scopo di individuare sistemi esposti e distribuire payload aggiuntivi dopo aver ottenuto l'accesso.

Secondo i ricercatori, CAI fa più che raccogliere segretamente informazioni sensibili. Cerca e termina anche i processi associati ad altri worm che rubano credenziali, tra cui TeamPCP e PCPJack. Questo comportamento suggerisce che gli operatori stiano cercando di ridurre la concorrenza sulle infrastrutture compromesse e di mantenere per sé il controllo degli host infetti.

Il ricercatore di Hunt.io Michael Rippey ha dichiarato che i primi segnali di CAI sono stati osservati il 15 giugno, quando l'azienda ha individuato directory aperte collegate all'operatore. Nelle settimane successive, secondo quanto riferito, l'attività è passata dal codice di test a distribuzioni attive. Rippey ha affermato che la campagna mostra segni di sviluppo iterativo e potrebbe aver beneficiato dell'assistenza di modelli linguistici di grandi dimensioni, sulla base dello stile di programmazione e dei commenti presenti negli script.

I ricercatori di sicurezza affermano che l'attuale toolkit CAI distribuisce tre payload principali sui sistemi compromessi:

• miner di criptovalute
• componenti per il furto di credenziali
• una backdoor Python per mantenere l'accesso

I log dei sistemi di comando e controllo indicano, secondo quanto riferito, tentativi di sfruttamento attivi e compromissioni riuscite, con attività sui wallet collegata all'operazione. Sebbene il malware non sia descritto come particolarmente avanzato, i ricercatori affermano che è efficace e progettato per mantenere la persistenza negli ambienti cloud, dove gli strumenti di sviluppo esposti possono fornire un accesso esteso.

CAI sembra riflettere una tendenza più ampia, secondo la quale gli autori delle minacce prendono sempre più di mira le infrastrutture degli altri operatori, oltre ai servizi cloud delle vittime. Gli analisti avvertono che la crescente diffusione di worm concorrenti e attacchi alla supply chain significa che sviluppatori e difensori dovrebbero monitorare attentamente i servizi esposti, limitare gli accessi non necessari e prestare attenzione ai segnali di terminazione non autorizzata dei processi o di attività di mining impreviste.