Frank McDougall
Een recente Distributed Denial of Service (DDoS) -campagne, genaamd “Panamorfi”, heeft de cybersecuritygemeenschap in opschudding gebracht. In tegenstelling tot traditionele DDoS-aanvallen richt deze campagne zich specifiek op verkeerd geconfigureerde Jupyter-notebooks die online zijn blootgesteld. De dreigingsactor achter de campagne, bekend als yawixooo, maakt gebruik van een openbaar beschikbaar Minecraft-server DDoS-tool om doelwit servers te overbelasten.
De Anatomie van de Aanval
Volgens onderzoekers van Aqua Nautilus begint de aanval met de dreigingsactor die oorspronkelijk toegang krijgt tot notebooks aan de internetkant. Vervolgens voeren ze een opdracht uit die een zip-bestand downloadt van een bestandsplatform voor het delen van bestanden. Het zip-bestand, ongeveer 17 MB groot en met een willekeurige reeks tekens als naam, bevat twee Jar-bestanden genaamd conn.jar en mineping.jar. Deze Jar-bestanden waren eerder onbekend bij beveiligingsbedrijven, met slechts één detectie voor elk.
Het bestand ‘conn.jar’ speelt een cruciale rol in de aanval. Het maakt gebruik van Discord om de DDoS-operatie te bedienen. De machine van het slachtoffer verbindt met een specifiek Discord-kanaal en laadt het bestand ‘mineping.jar’. Dit bestand is een bekend Minecraft-server DDoS-tool dat beschikbaar is op GitHub en bevat meerdere Java-bestanden voor verschillende functionaliteiten.
De Uitvoering van de Aanval
Zodra het Minecraft-server DDoS-tool is ingezet, begint de dreigingsactor met een TCP flood DDoS-aanval. Het primaire doel is om de middelen van de doelserver uit te putten. De aanvallers hebben het tool zo ingesteld dat de aanvalsresultaten direct naar het Discord-kanaal worden geschreven, zodat ze de impact van de aanval in realtime kunnen volgen.
Het Mitigeren van de Dreiging
Gelukkig slaagden de onderzoekers van Aqua Nautilus erin om in te grijpen en de aanval te stoppen door een run-time beleid te implementeren dat de uitvoering van het bestand conn.jar blokkeert. Door deze proactieve maatregelen te nemen, werd de gehele campagne effectief geneutraliseerd.
Om u te beschermen tegen soortgelijke campagnes, is het cruciaal om de volgende mitigatiestrategieën te volgen:
– Implementeer veilige praktijken om toegang tot Jupyter-notebooks te beperken.
– Blokkeer de uitvoering van bestanden die verband houden met de campagne, zoals conn.jar en mineping.jar.
– Beperk de uitvoering van code binnen Jupyter-notebooks.
– Werk regelmatig Jupyter-notebooks bij met de nieuwste beveiligingspatches.
Bovendien is het raadzaam om gevoelige informatie of referenties niet te delen op Jupyter-notebooks, aangezien ze mogelijk aantrekkelijke doelwitten kunnen worden voor dreigingsactoren.
Door waakzaam te blijven en deze defensieve maatregelen toe te passen, kunnen gegevensbeoefenaars zoals data-ingenieurs, data-analisten en datawetenschappers zich beschermen tegen de Panamorfi DDoS-campagne en soortgelijke aanvallen in de toekomst.
