By HireHackking in HACKER
· 2 views
Automated Libra黑客組織通過CAPTCHA繞過技術自動賬號創建，進行加密貨幣挖礦。
近期，南非黑客組織'Automated Libra'通過CAPTCHA繞過技術實現自動賬號創建，在雲平台創建賬戶，利用免費的資源進行加密貨幣挖礦來獲利。
Automated Libra是位於南非的黑客組織，也是freejacking攻擊活動PurpleUrchin背後的黑客組織。 Freejacking 是使用免費云資源來執行加密貨幣挖礦活動的過程。 Unit 42 研究人員分析了Automated Libra的250GB數據，發現了黑客的基礎設施、歷史和使用的技術。黑客使用簡單的圖像分析技術繞過CAPTCHA圖像，實現雲平台自動化賬號創建，每分鐘可以成功創建3-5個GitHub賬戶。 Unit 42研究人員成功發現了黑客在PurpleUrchin攻擊活動中使用的40個加密貨幣錢包和7種不同的加密貨幣。
利用GitHub工作流進行加密貨幣挖礦Automated Libra在針對GitHub的攻擊活動中融合了Play and Run以及freejacking技術。此外，攻擊者還利用了GitHub CAPTCHA檢查的弱點。
攻擊者以平均每分鐘3-5個的速度自動創建GitHub賬號。創建GitHub賬號後，就開始了freejacking攻擊活動。
攻擊者在不同的VPS（virtual private server）提供商和雲服務提供商平台上創建了超過13萬個賬戶，但是並沒有付費。這些創建的賬戶使用的都是虛假的個人信息以及信用卡信息。這使得攻擊者可以在完成加密貨幣挖礦活動後並未完成付費。
自動化賬號創建創建GitHub賬戶的第一步是輸入郵件地址、密碼和用戶名，如圖1所示：
圖1. GitHub表單完成
容器運行虛擬網絡計算（VNC）服務器：使用如下命令啟動Iron瀏覽器：
圖2. VNC服務器展示Iron瀏覽器
然後使用xdotool工具，該工具是完成GitHub表單的主要腳本。表單完成後，GitHub會提示CAPTCHA：
圖3. GitHub CAPTCHA
攻擊者使用了一個非常簡單的機制來解決CAPTCHA問題。從攻擊者創建的GitHub賬戶統計數據來看，攻擊者實現CAPTCHA繞過的方法非常有效。
利用CAPTCHA的弱點為繞過CAPTCHA需要識別圖片背景中的星系，攻擊者使用了ImageMagick工具套件中的2個工具：convert 和identify。
首先，使用convert工具將圖像轉化為RGB格式。
圖4將圖像轉化為RBG
轉化完成後，使用identify命令來提取red 通道的skewness 特徵：
圖5. 提取red 通道的skewness 特徵的命令
最終的結果如圖6所示，以從大到小的順序排序。值最小的圖像就是背景圖片，比如：
圖6. 每個圖片的red通道輸出
圖4中的image 2就是識別出的星系背景圖片。 CAPTCHA解決後，GitHub需要一個啟動碼，如圖7所示：
圖7. GitHub 請求啟動碼
攻擊者使用Gmail賬號來自動獲取啟動碼。這一過程使用了IMAP協議和PHP腳本來讀取收到的IMAP消息。
啟動碼輸入後，自動化過程就可以生成個人訪問token。 GitHub註冊過程的最終結果是一個用戶名和GitHub部署的個人訪問token。
圖8. 調用運行的容器
隨後，容器執行以下操作：
設置SSH 密鑰；
使用GitHub API創建GitHub庫；
配置創建的庫的權限。
此外，攻擊者還使用基於MD5哈希值的隨機名來對庫進行命名。
圖9. 對庫進行隨機命名的命令
GitHub庫創建完成後，攻擊者調用一個bash腳本來用目標工作流來更新庫。工作流是用PHP腳本生成的， PHP模板編碼的工作流示例如圖10所示：
圖10. PHP模板
研究人員發現其中的一個工作流中有64個任務。生成的工作流配置為github.event.client_payload.app事件下的repository_dispatch運行。工作流機制允許攻擊者執行外部應用。在本例，攻擊者運行外部bash腳本和容器，如圖11所示：
圖11. 執行外部應用的工作流機制
工作流運行的bash腳本是從外部域名訪問的。攻擊者運行的容器是用來安裝和初始化加密貨幣挖礦功能的，如圖12所示：
圖12. 加密貨幣挖礦容器
生成的工作流運行64個任務，每個任務都從5個可用的唯一配置中隨機選擇一個。
經過確認的攻擊者創建的GitHub賬戶數如下圖所示。
圖13. PurpleUrchin攻擊者創建的GitHub賬戶數
此外，攻擊者還在Heroku、Togglebox、GitHub等不同雲平台服務商創建了超過13萬用戶賬戶。
Recommended Comments