Исследовательская группа Sysdig Threat Research Team (TRT) обнаружила атаку, в ходе которой злоумышленник воспользовался неправильно настроенной системой, работающей с Open WebUI - популярным приложением (95 тысяч звезд на GitHub), предоставляющим расширяемый интерфейс для работы с большими языковыми моделями (LLM). Получив доступ, атакующий внедрил вредоносный код и загрузил криптомайнеры. В ходе анализа инцидента эксперты выявили несколько ключевых моментов, включая использование AI-генерации для создания скриптов и сложные методы маскировки активности.
Описание
Open WebUI был ошибочно выложен в открытый доступ с административными правами и без аутентификации, что позволило злоумышленнику загрузить и выполнить вредоносный Python-скрипт через функционал Open WebUI Tools. Скрипт, вероятно, создан с помощью ИИ, отличался необычной структурой и обилием строковых переменных, что характерно для LLM. Эксперты подтвердили, что код частично был сгенерирован искусственным интеллектом, что ускорило процесс разработки атакующего инструмента.
Основная нагрузка скрипта включала загрузку криптомайнеров T-Rex и XMRig, использование Discord-вебхука для командования и управления (C2), а также применение редких методов скрытности, таких как processhider и argvhider. Последний модифицирует аргументы командной строки, делая их невидимыми для мониторинга через /proc/[pid]/cmdline.
В Windows-версии атаки злоумышленник дополнительно загружал Java-загрузчик, который запускал вредоносные JAR-файлы, включая инфостилеры для кражи учетных данных из браузеров и Discord. Один из DLL-модулей использовал методы обнаружения песочниц, такие как проверка виртуализации через IsProcessorFeaturePresent.
Несмотря на сложность атаки, Sysdig Secure успешно обнаружил активность злоумышленника благодаря встроенным правилам YARA и мониторингу загрузки подозрительных библиотек. Эксперты рекомендуют администраторам проверять настройки Open WebUI, ограничивать доступ к интерфейсу и использовать многофакторную аутентификацию для предотвращения подобных инцидентов.
Индикаторы компрометации
IPv4
- 185.208.159.155
URLs
- http://185.208.159.155:8000/application-ref.jar
- https://canary.discord.com/api/webhooks/1357293459207356527/GRsqv7AQyemZRuPB1ysrPUstczqL4OIi-I7RibSQtGS849zY64H7W_-c5UYYtrDBzXiq
- https://gh-proxy.com/https://github.com/trexminer/T-Rex/releases/download/0.26.8/t-rex-0.26.8-linux.tar.gz
- https://gh-proxy.com/https://github.com/xmrig/xmrig/releases/download/v6.22.2/xmrig-6.22.2-linux-static-x64.tar.gz
SHA256
- 0854a2cb1b070de812b8178d77e27c60ae4e53cdcb19b746edafe22de73dc28a
- 13d6c512ba9e07061bb1542bb92bec845b37adc955bea5dccd6d7833d2230ff2
- 1e6349278b4dce2d371db2fc32003b56f17496397d314a89dc9295a68ae56e53
- 2f778f905eae2472334055244d050bb866ffb5ebe4371ed1558241e93fee12c4
- 3f37cb419bdf15a82d69f3b2135eb8185db34dc46e8eacb7f3b9069e95e98858
- 41774276e569321880aed02b5a322704b14f638b0d0e3a9ed1a5791a1de905db
- 833b989db37dc56b3d7aa24f3ee9e00216f6822818925558c64f074741c1bfd8
- eb00cf315c0cc2aa881e1324f990cc21f822ee4b4a22a74b128aad6bae5bb971
- ec99847769c374416b17e003804202f4e13175eb4631294b00d3c5ad0e592a29
- f0db47fa28cec7de46a3844994756f71c23e7a5ebef5d5aae14763a4edfcf342
RavenCoin Wallet
- RHXQyAmYhj9sp69UX1bJvP1mDWQTCmt1id
Monero XMR Wallet
- 45YMpxLUTrFQXiqgCTpbFB5mYkkLBiFwaY4SkV55QeH2VS15GHzfKdaTynf2StMkq2HnrLqhuVP6tbhFCr83SwbWExxNciB
