MrbMiner, internete açık SQL Server veritabanı sunucularını hedef alarak kendi kripto madencilik yazılımını yüklüyor. Veritabanı sunucuları, yoğun kaynak gerektiren faaliyetler için kullanıldıkları ve buna bağlı olarak güçlü bilgi işlem kapasitesine sahip oldukları için kripto madencilerin cazip hedefleri arasında yer alıyor.
SophosLabs, saldırganların korsan madencilik yazılımını hedeflenen sunucuya yüklemek için birden çok yol kullandığını, cryptominer yük ve yapılandırma dosyalarını kasıtlı olarak yanlış adlandırılmış zip arşiv dosyalarında paketlediğini tespit etti. İran merkezli bir yazılım şirketinin adı, madencilik yazılımının ana yapılandırma dosyasında kodlanmış bir şekilde yer alıyor. Bu alan, madencinin farklı kopyalarını içeren diğer zip dosyasını barındırıyor. Bu zip dosyaları aralarında mrbftp.xyz adresinin de yer aldığı pek çok farklı alan üzerinden indiriliyor.
Şirketin Tehdit Araştırma Direktörü Gabor Szappanos, “Organizasyonları dize getiren multi milyon dolarlık fidye yazılımı saldırılarının yaşandığı bir çağda kripto madenciliğe yönelik saldırıları hafife almak hata olur” diyor. “Kripto madencilik saldırısı uygulaması kolay, tespit edilmesi çok zor olan sessiz ve görünmez bir tehdittir. Ayrıca fidye yazılımı gibi diğer büyük tehditler için açık kapı bırakma potansiyeline sahiptir. MrbMiner’ın operasyonları, internete dönük sunucuları hedef alan kripto madencilik saldırılarının tipik özelliklerini taşıyor. Ancak kimliklerini gizleme konusunda oldukça özensiz davranmaları dikkat çekici. Madencinin konfigürasyonu, etki alanları ve IP adresleriyle ilgili kayıtların çoğu, İran merkezli küçük bir yazılım şirketini işaret ediyor.”
Şirket, kripto madenciliğe karşı bilgisayarların ve sunucuların hızında ve performansında azalma, elektrik tüketiminde artma, cihazların aşırı ısınması ve işlemci üzerinde artan talep gibi işaretlere dikkat edilmesi gerektiğini söylüyor.
MrbMiner, Sophos tarafından Cryptominer Troj / Miner-ZD adıyla tespit ediliyor.