Online Thief varjab Amazoni kontot Mine Litecoinidele Cloudis | EE.democraziakmzero.org

Online Thief varjab Amazoni kontot Mine Litecoinidele Cloudis

Online Thief varjab Amazoni kontot Mine Litecoinidele Cloudis

Miks viitsinud installida CPU-kaevandamise pahavara tuhandeid masinad, kui saab lihtsalt tungida kellegi Amazon cloud computing konto ja luua hästi juhitud andmekeskusi asemel?

Sel nädalal tarkvara arendaja avastas keegi oli teinud just seda, ja tegi ära kuhja litecoins tema peenraha.

Melbourne põhinev programmeerija Luke Chadwick sai vastik šokk pärast talle Amazon. Firma ütles, et tema Amazon Key (turvalisuse kasutatavat mandaati sisse logida Amazon Web teenuseid) oli leitud üks tema Github hoidlates.

Github hoidlaid

Github online versioon kontrollisüsteemi kasutatakse koostööl tarkvara arendamiseks. See toimib kasutades keskhoidlas kellel lähtekoodi tarkvara projekt.

Lähtekoodi jõuab saidil, kui autor "vajutab" kataloog, mis sisaldab seda Github, korrates kogu asi luues hoidla seal.

Kui autor otsustab teha, et hoidla avaliku muud tarkvaraarendajad saavad "kahvel" see, toodavad koopia hoidla oma tarbeks, mis seejärel "kloonitud" või kopeeritud alla oma kohaliku arvuti.

"Chadwick sisse loginud ja leitud arve $ 3420. Volitamata kasutaja oli loodud kakskümmend Amazon virtuaalse masinaid. "

Kui nad on teinud oma panuse projekti, kas muutes või lisades uusi lähtekoodi, võivad nad sünkroonida oma kood kahestunud hoidla ja seejärel küsida esialgse autori pull nende panuse tagasi algse hoidla.

Kahjuks mõned tarkvaraarendajad tahtmatult salvestada digitaalse "võtmed", mida kasutatakse juurdepääsuks võrguteenuste nende katalooge.

Niikaua kui Github hoidla on privaatne, keegi teine ​​ei saa neid näha. Aga niipea, kui nad teevad selle avalikuks, kataloog muutub otsitavad ja teised võivad moodustada hoidla, juurdepääsu võtmed.

See on juhtunud Github beforewith tüüpi digitaalse sertifikaadi nimetatakse SSH (Secure Shell), mis võib anda ründajad juurdepääsu tarkvara arendaja enda arvutisse. Ja see ka juhtus Chadwick. Ta ütles:

"Probleem oli sama (varjatud GitHub hoidlad), kuid see on erinev SSH võtmed, mida saaks kasutada ainult ühendada olemasoleva protsessi."

"Need võtmed olid Amazon API ja saaks kasutada, et luua uusi masinaid." See on see, mida ründaja tegi.

1427 Näiteks tundi

Pärast saada sõna võtme leidis oma hoidlasse, Chadwick sisse loginud ja leitud arve $ 3420. Volitamata kasutaja oli loodud 20 Amazon virtuaalse masinaid. Kokkuvõttes olid nad kasutanud 1427 "Näiteks tundi, mis tähendab, et nad olid ilmselt seda veidi alla kolme päeva.

Chadwick tahtis päästa virtuaalmasinatena kohtuekspertiisi eesmärkidel, kuid ei saa endale jätta neid töökorras mängides Amazon toetust, et ta tappis nad.

Kuid just enne kui ta tegi, ta on lisatud ladustamise maht ühest oma virtuaalse masina näiteks. Ta leidis, et volitamata kasutaja oli kaevandus litecoins varastatud protsessori.

Seoses arvutustehnika jõudluse, ründaja tegi tõhusat kasutamist varastatud konto luua virtuaalse masina "arvutama optimeeritud" klassi. Cc2.8xlarge näiteks, et nad valisid on 64-bitine protsessor 32 virtuaalse protsessoriga ja 88 'EC2 Arvuta Units ".

CPU-sõbralik scrypt

Litecoin kasutab tõend töö mehhanismi nimetatakse scrypt, mis on mõeldud CPU-sõbralik ja vastupidav GPU ja ASIC. See muudab suure jõudlusega EC2 Näiteks sobib töö, sest toores CPU võimsus on see, mis see on hea.

Teised, kes on loonud õiguspärase scrypt kaevandamise juhtudel kohta EC2 (ehkki kaevandamise YaCoin ei litecoin - ja teist tüüpi scrypt) väidavad, et on näinud 750 Khashes / secin tulemuste kohta näiteks. Ründaja 20 masinate oleks seetõttu kaevandamine umbes 15 Mhashes / sek, kui töötab koos.

Analüüsides maht, et ta paigaldatud oma virtuaalne masin, Chadwick leidis, et ründaja oli kasutanud litecoin kaevandamise bassein basseini x.eufor münte. At 1.156GH / sek, see bassein on umbes 1,1% kogu litecoin hash kiirusele, mis näitab, et kuigi kaevandamise ründaja oleks moodustas ligikaudu 1% basseini üldine hash määra.

Out bassein

Basseini administraator, posti puhkuselt Tai, eelistas mitte anda oma nime, kuid läheb käepidemest "g2x3k". Ta vabandas ei pealevõtmine Chadwick e-posti. Ta arvab, et CPU tsükli varguse juhtub palju on litecoin kaevandamise ruumi.

"Tavaliselt ma sulgeda kontosid nõudmisel," ütles ta, lisades, et ta on keelanud IP aadressid nõudmisel enne. "Isegi kui ma nende väljatõrjumiseks nad saavad endiselt setup [a] basseinile või soolo minu neid vahendeid.

"Mul on nimekiri Amazon IP juba keelatud, kuna seda kasutati alguses litecoin kaevandada rohkem kui ma arvasin oli õiglase osa," jätkas ta.

Loodame, et ründaja pärast, et nad müüsid alguses (või huvides õiglus, et nad ei). Chadwick sai teada juhtumeid panna või välja lülitada esmaspäeval 16. Detsember, mis oli samal päeval, et hind litecoin alustas krahh.

Kui pilv varas ei müü oma münte kui nad läksid, siis nad võiksid kaotanud terve kasumit.

Chadwick ei usu, et see oleks väga lihtne tabada ründaja. "Kuigi ma olen kindel, et Amazon on mõned kirjed (nagu ka bassein), eeldan isiku kasutades Tor," ütles ta.

Vahepeal Amazon on hoogustanud ja tagastatakse Chadwick oma raha.

SecurityLitecoinTheft

Seotud uudised


Post Litecoin

Litecoin aktiveerib SegWiti edukalt

Post Litecoin

CoinMKT altvõlakirjavahetus avalikku beetat järgmisel nädalal

Post Litecoin

Mt. Gox parandab saidi kiirust koostöös pilveplatvormiga Akamai

Post Litecoin

Kleiner Perkinsi fond Debüüdid Edgecoin, Blockchaini käivitamiseks asutajad

Post Litecoin

McxNOW Cryptoexchange peatab kauplemise ja uue kasutaja registreerumise

Post Litecoin

BTC Hiina käivitab Litecoini kaubanduse tänu Lee Brothersile

Post Litecoin

Tasuta Multi-Signature API võib aidata suurendada Bitcoini rakenduse turvalisust

Post Litecoin

SegWit on looduses: 4 õppetunnid Bitcoin saab õppida Litecoinist

Post Litecoin

Litecoini hind ootab Põhja-Korea suursambariiki

Post Litecoin

Poola Bitcoin Exchange Bidextreme.pl häkkinud, Bitcoin Rahakotid tühjendatud

Post Litecoin

Litecoini väljakujunenud mõõtmise arutelu selgitatakse

Post Litecoin

Mining Roundup: Litecoini vahe-eesmärk, Lab Rati kohtuasi ja BitFury juhatuse boost