Investigadores de ciberseguridad han identificado un minero de criptomonedas basado en la nube que puede ejecutarse sin generar cargos ni ser detectado. El método utiliza el servicio Microsoft Azure Automation, una herramienta desarrollada por Microsoft para automatizar tareas relacionadas con recursos en la nube.
Metodologías descubiertas
La empresa de ciberseguridad SafeBreach reveló tres formas distintas de implementar el minero. Una de ellas permite ejecutar código dentro del entorno de la víctima sin llamar la atención, lo que facilita su uso en ambientes sensibles.
Uso de Azure Automation
Azure Automation es un servicio que permite a los usuarios automatizar procesos como la creación, implementación y monitoreo de recursos. Los investigadores encontraron una vulnerabilidad en la calculadora de precios de Azure que permitía ejecutar trabajos ilimitados sin coste.
Otra técnica consiste en crear un trabajo de prueba para minería y establecer su estado como «Error». Luego, se genera otro trabajo ficticio aprovechando la limitación de solo una prueba por vez. Este flujo oculta completamente la ejecución del código dentro de Azure.
Posible uso malicioso
Un actor de amenazas podría utilizar estos métodos para establecer un shell inverso hacia un servidor externo y autenticarse en el punto final de automatización, logrando así sus objetivos.
Carga de paquetes Python
Además, se descubrió que la ejecución del código podría lograrse mediante la función de Azure Automation que permite cargar paquetes personalizados de Python. Los investigadores explicaron que podrían crear un paquete malicioso llamado «pip» y reemplazar el original en la cuenta de automatización.
Prueba de concepto
SafeBreach proporcionó una herramienta denominada CloudMiner, diseñada para obtener potencia informática gratuita dentro del servicio Azure Automation. La herramienta permite a cualquier usuario ejecutar código en Azure utilizando esta técnica, simplemente proporcionando el script Python o PowerShell deseado y accediendo a su cuenta de automatización.
Respuesta de Microsoft
Microsoft respondió caracterizando el comportamiento como «por diseño», lo que implica que el método aún puede explotarse sin generar costos. Aunque la investigación se centra en el abuso de Azure Automation para minería, los investigadores advirtieron que las técnicas podrían reutilizarse para cualquier tarea que requiera ejecutar código en Azure.
Los investigadores recomendaron a las organizaciones proveedoras de nube monitorear activamente cada recurso y acción dentro de su entorno, informándose sobre los métodos que los actores maliciosos podrían usar para crear recursos indetectables.