Automated Libra通过CAPTCHA绕过自动创建GitHub账号,进行加密货币挖矿
2023-1-9 12:0:0 Author: www.4hou.com(查看原文) 阅读量:21 收藏

导语:​Automated Libra黑客组织通过CAPTCHA绕过技术自动账号创建,进行加密货币挖矿。

Automated Libra黑客组织通过CAPTCHA绕过技术自动账号创建,进行加密货币挖矿。

近期,南非黑客组织'Automated Libra'通过CAPTCHA绕过技术实现自动账号创建,在云平台创建账户,利用免费的资源进行加密货币挖矿来获利。

Automated Libra是位于南非的黑客组织,也是freejacking攻击活动PurpleUrchin背后的黑客组织。Freejacking 是使用免费云资源来执行加密货币挖矿活动的过程。Unit 42 研究人员分析了Automated Libra的250GB数据,发现了黑客的基础设施、历史和使用的技术。黑客使用简单的图像分析技术绕过CAPTCHA图像,实现云平台自动化账号创建,每分钟可以成功创建3-5个GitHub账户。Unit 42研究人员成功发现了黑客在PurpleUrchin攻击活动中使用的40个加密货币钱包和7种不同的加密货币。

利用GitHub工作流进行加密货币挖矿

Automated Libra在针对GitHub的攻击活动中融合了Play and Run以及freejacking技术。此外,攻击者还利用了GitHub CAPTCHA检查的弱点。

攻击者以平均每分钟3-5个的速度自动创建GitHub账号。创建GitHub账号后,就开始了freejacking攻击活动。

攻击者在不同的VPS(virtual private server)提供商和云服务提供商平台上创建了超过13万个账户,但是并没有付费。这些创建的账户使用的都是虚假的个人信息以及信用卡信息。这使得攻击者可以在完成加密货币挖矿活动后并未完成付费。

自动化账号创建

创建GitHub账户的第一步是输入邮件地址、密码和用户名,如图1所示:

image.png图 1. GitHub表单完成

容器运行虚拟网络计算(VNC)服务器:使用如下命令启动Iron浏览器:

image.png

图 2. VNC服务器展示Iron浏览器

然后使用xdotool工具,该工具是完成GitHub表单的主要脚本。表单完成后,GitHub会提示CAPTCHA:

image.png

图 3. GitHub CAPTCHA

攻击者使用了一个非常简单的机制来解决CAPTCHA问题。从攻击者创建的GitHub账户统计数据来看,攻击者实现CAPTCHA绕过的方法非常有效。

利用CAPTCHA的弱点

为绕过CAPTCHA需要识别图片背景中的星系,攻击者使用了ImageMagick工具套件中的2个工具:convert 和 identify。

首先,使用convert工具将图像转化为RGB格式。

image.png

图 4将图像转化为RBG

转化完成后,使用identify命令来提取red 通道的skewness 特征:

image.png

图 5. 提取red 通道的skewness 特征的命令

最终的结果如图6所示,以从大到小的顺序排序。值最小的图像就是背景图片,比如:

image.png

图 6. 每个图片的red通道输出

图4中的image 2就是识别出的星系背景图片。CAPTCHA解决后,GitHub需要一个启动码,如图7所示:

image.png

图 7. GitHub 请求启动码

攻击者使用Gmail账号来自动获取启动码。这一过程使用了IMAP协议和PHP脚本来读取收到的IMAP消息。

启动码输入后,自动化过程就可以生成个人访问token。GitHub注册过程的最终结果是一个用户名和GitHub部署的个人访问token。

image.png

图 8. 调用运行的容器

随后,容器执行以下操作:

设置SSH 密钥;

使用GitHub API创建GitHub库;

配置创建的库的权限。

此外,攻击者还使用基于MD5哈希值的随机名来对库进行命名。

image.png

图 9. 对库进行随机命名的命令

GitHub库创建完成后,攻击者调用一个bash脚本来用目标工作流来更新库。工作流是用PHP脚本生成的, PHP模板编码的工作流示例如图10所示:

image.png

图 10. PHP模板

研究人员发现其中的一个工作流中有64个任务。生成的工作流配置为github.event.client_payload.app事件下的repository_dispatch运行。工作流机制允许攻击者执行外部应用。在本例,攻击者运行外部bash脚本和容器,如图11所示:

image.png

图 11. 执行外部应用的工作流机制

工作流运行的bash脚本是从外部域名访问的。攻击者运行的容器是用来安装和初始化加密货币挖矿功能的,如图12所示:

image.png

图 12. 加密货币挖矿容器

生成的工作流运行64个任务,每个任务都从5个可用的唯一配置中随机选择一个。

经过确认的攻击者创建的GitHub账户数如下图所示。

image.png

图 13. PurpleUrchin攻击者创建的GitHub账户数

此外,攻击者还在Heroku、Togglebox、GitHub等不同云平台服务商创建了超过13万用户账户。

本文翻译自:https://unit42.paloaltonetworks.com/purpleurchin-steals-cloud-resources/如若转载,请注明原文地址

  • 分享至

取消 嘶吼

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟


文章来源: https://www.4hou.com/posts/zlZy
如有侵权请联系:admin#unsafe.sh