Вредонос SANSAR заставляет серверы с видеокартами NVIDIA добывать криптовалюту, но показывает администраторам нулевую загрузку GPU. Для маскировки злоумышленники подменяют системную библиотеку, а управление скрывают за Tor и блокчейном Ethereum.
Специалисты Elastic Security Labs обнаружили кампанию REF3364, в ходе которой злоумышленники скомпрометировали три Linux-сервера с графическими ускорителями. Для проникновения использовали доступный из интернета агент заданий Ray, платформы для распределённых вычислений и обучения ИИ. Интерфейс принимал команды без аутентификации, хотя основная панель управления была доступна только локально.
Первые попытки доступа зафиксировали 22 октября 2026 года. Через два дня атакующие запустили nvidia-smi, собрали сведения о видеокартах и отправили результаты на внешний сервер. 25 октября через Ray выполнили Python-скрипт, открывший обратное соединение с командным узлом. Затем добавили SSH-ключ для постоянного доступа и получили права root, необходимые для установки остальных компонентов.
Основой комплекса стал написанный на Rust модуль SANSAR версии 0.1.3. Через сеть Tor программа принимает команды, управляет майнерами XMRig 6.25.0 для процессоров и SRBMiner-MULTI 3.6.9 для видеокарт. Всего исследователи обнаружили 16 типов управляющих сообщений, включая запуск интерактивной оболочки Bash и отправку TCP SYN-пакетов на заданные адреса. Последняя функция позволяет создавать сетевую нагрузку.
Самая необычная особенность SANSAR связана с подменой библиотеки NVIDIA NVML, которую использует утилита nvidia-smi. Вредоносный модуль перехватывает запросы мониторинга и возвращает поддельные показатели. Загрузка GPU всегда составляет 0%, температура случайным образом меняется от 36 до 46 градусов, а энергопотребление от 100 до 200 Вт. Администратор получает искажённую картину работы оборудования.
Дополнительную маскировку обеспечивает руткит acpi_thermal_mgr, внедряемый в ядро Linux. Через механизм ftrace модуль перехватывает системные вызовы, скрывает процессы, файлы и сетевые соединения. Вредонос также способен переживать перезагрузку благодаря загрузчику в initramfs. Попытки обратиться к скрытым процессам могут завершаться ошибкой, словно указанных объектов вообще не существует.
Отдельный бэкдор netns использует смарт-контракт Ethereum для поиска управляющего сервера. Программа запрашивает у контракта зашифрованный IPv4-адрес, расшифровывает его и подключается по TCP к порту 8080. После получения команды SHELL запускается обратная оболочка Bash. Подробный анализ SANSAR исследователи опубликовали 12 ноября вместе с YARA-правилами и индикаторами компрометации.
Похожие способы сокрытия управляющей инфраструктуры встречались и раньше. Например, злоумышленники уже прятали команды в Ethereum, а операторы других кампаний использовали открытые интерфейсы серверов для установки майнеров. Elastic рекомендует ограничивать доступ к Ray Jobs API, проверять целостность библиотек NVIDIA и искать посторонние модули ядра. Обычным показаниям GPU после такого взлома доверять нельзя.
