🔍 Contexte

Publié le 12 novembre 2026 par Elastic Security Labs, cet article présente une analyse technique approfondie de REF3364, une intrusion de cryptominage Linux combinant des malwares personnalisés et des mineurs publics. La campagne a été détectée entre le 22 et le 25 octobre 2026.

🚪 Accès initial

L’attaquant a exploité un agent de job Ray exposé sur Internet sans authentification (framework open-source de distribution de workloads Python/IA). La progression de l’intrusion :

  • 22 octobre 2026 : premières sondes externes dans les logs Ray
  • 24 octobre 2026 : soumission d’un job exécutant nvidia-smi et exfiltrant l’inventaire GPU
  • 25 octobre 2026 : soumission d’un job Python de reverse shell vers un listener externe
  • Persistance via ajout d’une clé SSH dans authorized_keys

🧰 Composants du toolkit

Après obtention des droits root, le toolkit est déployé sous /opt/vadi_/ :

Fichier Rôle
sansar Orchestrateur Rust v0.1.3, C2 via Tor
kurt XMRig 6.25.0, mineur CPU
tilki SRBMiner-MULTI 3.6.9, mineur GPU
lyrebird Helper Tor (obfs4/WebTunnel)
libnvidia-ml.so.1 Wrapper NVML falsifiant les lectures GPU
acpi_thermal_mgr.ko Rootkit noyau Linux (ftrace)
netns Backdoor résolvant son C2 depuis Ethereum

⚙️ Analyse de SANSAR

SANSAR est un client Rust (v0.1.3) avec :

  • Anti-debugging : lecture de /proc/self/status (TracerPid) et mesure de timing sur 1000 itérations
  • Domaine C2 encodé : 62 octets décodés par rotation droite + XOR avec masque 32 octets → efxisnqldelyr5ra25oqfrsut54b34g26e7zrsiuupsoekjof2gho2id.onion:9051
  • Tor via Arti (implémentation Rust du Tor Project), modes direct et bridge (WebTunnel/obfs4)
  • Authentification HMAC-SHA256 lors de l’enregistrement
  • Protocole binaire sur Tor avec 16 types de messages (shells interactifs, gestion mineurs, trafic SYN, mise à jour bridges)
  • Inventaire hôte : GPU via nvidia-smi, IP publique via 4 services externes, CPU via /proc/cpuinfo

🎭 Falsification GPU (NVML wrapper)

Le wrapper libnvidia-ml.so.1 intercepte les appels NVML et retourne :

  • Utilisation GPU : 0% (au lieu de la valeur réelle)
  • Température : valeur aléatoire entre 36 et 46°C
  • Puissance : valeur aléatoire entre 100 et 200W

SANSAR peut reconstruire et réinstaller ce wrapper via make / make install depuis /opt/vadi_/nvml-hook/.

🪲 Rootkit acpi_thermal_mgr

Module noyau Linux utilisant ftrace pour intercepter getdents64, openat, kill et les routines de listing TCP/UDP. Fonctionnalités :

  • Dissimulation de processus, fichiers et sockets
  • Watchdog configurable
  • Auto-dissimulation du module
  • Commentaires en turc dans le code source (Tüm gizli isimleri kontrol et)
  • Processus kurt et lyrebird cachés par défaut

🔗 Backdoor netns (C2 via Ethereum)

netns interroge des services RPC Ethereum publics via HTTPS pour appeler le contrat 0x43eb291f56688c63c93e8a93c4591fc997cf6349 (sélecteur 0x6ded96e7) et récupérer une adresse IPv4. Il se connecte ensuite en TCP sur le port 8080 et exécute des commandes SHELL <host> <port> en lançant Bash sans authentification applicative.

📊 Type d’article

Analyse technique approfondie publiée par Elastic Security Labs, visant à documenter les composants du toolkit REF3364, fournir des règles YARA et des IoCs pour la détection, et alerter sur les risques pesant sur l’infrastructure GPU/IA.

🧠 TTPs et IOCs détectés

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1059.006 — Command and Scripting Interpreter: Python (Execution)
  • T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
  • T1611 — Escape to Host (Privilege Escalation)
  • T1136.001 — Create Account: Local Account (Persistence)
  • T1098.004 — Account Manipulation: SSH Authorized Keys (Persistence)
  • T1543.002 — Create or Modify System Process: Systemd Service (Persistence)
  • T1547.006 — Boot or Logon Autostart Execution: Kernel Modules and Extensions (Persistence)
  • T1078.003 — Valid Accounts: Local Accounts (Defense Evasion)
  • T1021.004 — Remote Services: SSH (Lateral Movement)
  • T1014 — Rootkit (Defense Evasion)
  • T1622 — Debugger Evasion (Defense Evasion)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1140 — Deobfuscate/Decode Files or Information (Defense Evasion)
  • T1082 — System Information Discovery (Discovery)
  • T1016 — System Network Configuration Discovery (Discovery)
  • T1090.003 — Proxy: Multi-hop Proxy (Command and Control)
  • T1102.001 — Web Service: Dead Drop Resolver (Command and Control)
  • T1095 — Non-Application Layer Protocol (Command and Control)
  • T1105 — Ingress Tool Transfer (Command and Control)
  • T1496.001 — Resource Hijacking: Compute Hijacking (Impact)
  • T1498.001 — Network Denial of Service: Direct Network Flood (Impact)

IOC

  • Domaines : efxisnqldelyr5ra25oqfrsut54b34g26e7zrsiuupsoekjof2gho2id.onion — VT · URLhaus · ThreatFox
  • SHA256 : 00c9ac44291f83c72d54302e99d155a3e26d02225a3e516764d5833a99657c9e — VT · MalwareBazaar
  • SHA256 : 96fc528ca5e7d1c2b3add5e31b8797cb126f704976c8fbeaecdbf0aa4309ad46 — VT · MalwareBazaar
  • SHA256 : acc706afc9322a3eae1ef49049749e0a7c9f1a123895ac56dc8a289beb2fb5b7 — VT · MalwareBazaar
  • SHA256 : cc1ad7f14777a098ccc91fd4e8f6143da14418c2b6fdf23b7f8f6b3d1b0b7f1d — VT · MalwareBazaar
  • SHA256 : 675c24728f87f7aa0fa07527027c95c24c246049c65eaef89270ab04ea50a180 — VT · MalwareBazaar
  • SHA256 : 6ba1aa275e0e2826e8b48b36473539ca56cbdc41f429e539a45f8532b084d7a4 — VT · MalwareBazaar
  • SHA256 : df8ab6fd699e6ae90e63e9696bae8f01342708bafc2ed88af414337e4f237194 — VT · MalwareBazaar
  • Fichiers : sansar
  • Fichiers : kurt
  • Fichiers : tilki
  • Fichiers : lyrebird
  • Fichiers : libnvidia-ml.so.1
  • Fichiers : acpi_thermal_mgr.ko
  • Fichiers : netns
  • Fichiers : nvml_hook.c
  • Fichiers : acpi_thermal_mgr.c
  • Chemins : /opt/vadi_/
  • Chemins : /opt/vadi_/tilki
  • Chemins : /opt/vadi_/nvml-hook/
  • Chemins : /opt/vadi_/nvml-hook/nvml_hook.c
  • Chemins : /usr/src/acpi_thermal_mgr-1.0/
  • Chemins : /usr/lib/.libnvidia-ml.so.1.backup

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 13 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • SANSAR (other)
  • netns (backdoor)
  • acpi_thermal_mgr (other)
  • XMRig (other)
  • SRBMiner-MULTI (other)
  • Lyrebird (tool)

🟢 Indice de vérification factuelle : 83/100 (haute)

  • ✅ elastic.co — source reconnue (liste interne) (20pts)
  • ✅ 24082 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 23 IOCs dont des hashes (15pts)
  • ✅ 1/4 IOC(s) confirmé(s) (MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (8pts)
  • ✅ 22 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 96fc528ca5e7d1c2… (sha256) → VT (39/76 détections)

🔗 Source originale : https://www.elastic.co/security-labs/threat-command/sansar-linux-cryptomining-malware