Il mining GPU continua anche quando nvidia-smi segna zero
Elastic Security Labs ha documentato SANSAR su tre host GPU Linux raggiunti tramite un agente dei job di Ray esposto a Internet e privo di autenticazione. Il toolkit può far apparire nullo l’utilizzo della GPU mentre il mining prosegue.
Il malware si interpone tra il software di monitoraggio e la libreria NVIDIA che fornisce le letture, sostituendo i valori reali con dati falsi: nvidia-smi può quindi mostrare 0% di utilizzo anche con un miner attivo. Altri componenti nascondono processi e file.
Per chi controlla costi o attività anomale tramite i pannelli di utilizzo GPU, le letture NVIDIA da sole non dimostrano che un host sia inattivo. L’intrusione ha raggiunto tre macchine, non soltanto il punto d’ingresso.
Linux cryptomining malware: Inside the SANSAR toolkit
Attackers reached three GPU hosts through an exposed Ray job agent, then deployed Linux cryptomining malware that makes nvidia-smi report 0% utilization.