Il gruppo di hacker noto come Outlaw sta sfruttando tecniche avanzate per distribuire malware di cryptojacking sui server Linux, utilizzando attacchi brute-force SSH per compromettere i sistemi vulnerabili. Questo malware, noto anche come Dota, è attivo sin dal 2018 e continua a evolversi per mantenere la sua efficacia. Gli attacchi del gruppo si concentrano su server SSH con credenziali deboli, utilizzando tecniche di propagazione simili a worm per diffondersi rapidamente tra i sistemi.

Una volta ottenuto l'accesso iniziale a un server, il malware Outlaw utilizza uno script dropper per scaricare e lanciare il miner di criptovaluta, eliminando eventuali tracce di compromissioni precedenti e uccidendo sia i miner della concorrenza che i propri miner obsoleti. Un aspetto distintivo di questo malware è la sua capacità di auto-propagarsi, utilizzando un modulo di forza bruta che riceve un elenco di obiettivi da un server di comando e controllo SSH, perpetuando così il ciclo di infezione.

Outlaw non si limita a sfruttare le credenziali SSH deboli. Alcune varianti dell'attacco prendono di mira anche sistemi operativi basati su Linux e Unix vulnerabili a exploit noti come CVE-2016-8655 e Dirty COW (CVE-2016-5195), oltre a utilizzare credenziali Telnet deboli per infiltrarsi nei sistemi. Una volta all'interno, il malware distribuisce SHELLBOT per il controllo remoto tramite un canale IRC, consentendo l'esecuzione di comandi arbitrari, il download di payload aggiuntivi, l'attacco DDoS e l'esfiltrazione di dati sensibili.

Nella sua fase di mining, il malware valuta la CPU del sistema infetto e attiva le hugepages per tutti i core CPU, aumentando così l'efficienza di accesso alla memoria. Inoltre, utilizza un binario denominato kswap01 per garantire comunicazioni persistenti con l'infrastruttura degli attaccanti. Nonostante utilizzi tecniche di base come la forza bruta SSH, la manipolazione delle chiavi SSH e la persistenza basata su cron, Outlaw rimane attivo e continua a rappresentare una minaccia significativa nel panorama del cryptojacking.