Der von Sysdig rekonstruierte Ablauf begann um 12:52 Uhr mit der ersten WebSocket-Verbindung von der Adresse 172.236.12[.]17 zum von Marimo exponierten Endpunkt „/terminal/ws". Über die Schwachstelle verschaffte sich der Angreifer eine vollständige interaktive Shell, erntete auf der kompromittierten Instanz Zugangsdaten und rief damit den AWS Secrets Manager auf. Der dort abgerufene private Schlüssel diente anschließend für den SSH-Zugang zu einem Bastion-Host.
Die Sitzung zog sich bis 21:50 Uhr. In diesen rund neun Stunden setzte der Operator nach Zählung von Sysdig mehr als 850 interaktive Befehle ab, verwendete keine erkennbaren öffentlich verfügbaren Angriffswerkzeuge und schrieb seine Skripte direkt in der laufenden Sitzung. Am Ende richtete er einen Listener im Stil von asyncssh gegen einen eigenen VPS ein.
„Das Vorgehen des Operators lief auf einen einzigen im Hintergrund gestarteten Python3-Aufruf hinaus, nicht auf ein agentisches Framework", schreibt Sysdig. Dieser Aufruf ziehe die Zugangsdaten, hole den SSH-Schlüssel aus dem Secrets Manager, schreibe ihn auf die Festplatte und authentifiziere sich in einem Zug per SSH am Bastion-Host. Das Fazit der Forscher: KI verändere die Ökonomie von Angriffen — mehr Ziele, schnellere Ausnutzung, weniger manuelle Routinearbeit —, habe aber den erfahrenen Angreifer, der von Grund auf bauen und Fallen umgehen könne, noch nicht ersetzt.
Parallel dazu hat Hunt.io eine Kryptomining-Kampagne offengelegt, bei der 3.562 Redis-Server kompromittiert wurden. Den Übernahmen ging offenbar ein breiter Internet-Scan nach erreichbaren Redis-Hosts auf Port 6379 voraus; anschließend liefen drei Pipelines parallel. Die zentrale Methode war der Missbrauch des SLAVEOF-Befehls, um angreiferkontrollierte Inhalte auf den Zielserver zu schleusen und dort den Miner XMRig abzulegen. Aufgefallen war die Kampagne durch eine offen zugängliche Arbeitsumgebung unter 188.245.99[.]156; eine Zuordnung zu einer bekannten Gruppe gibt es bislang nicht.
„Die bestätigten Opfer reichen von Redis 2.8.17 aus dem Jahr 2015 bis 7.2.0 aus dem Jahr 2023 und von Linux-Systemen mit abgekündigtem RHEL/CentOS 6 bis zu aktuellen Ubuntu-Kerneln — das deutet auf fehlende Authentifizierung als Schwachstelle hin, nicht auf einen versionsspezifischen Fehler", so Hunt.io. Das Werkzeug des Angreifers habe vier Techniken gegen drei Dienste eingesetzt, doch nur die missbräuchliche Redis-Replikation habe in größerem Umfang funktioniert: SSH-Schlüsselinjektion und der Ausbruch aus der MongoDB-Sandbox blieben in 2.810 Versuchen ohne jeden Erfolg. Eine komplette WordPress-Kette von gestohlenen Zugangsdaten bis zur Webshell wurde zwar gefunden, ließ sich aber nicht im großen Maßstab bestätigen.
Ebenfalls einem einzelnen Operator zugeschrieben wird die Kampagne „Operation CameraSwarm", bei der in den vergangenen Monaten über 14.000 IP-Kameras von Dahua übernommen wurden — mittels Brute-Force-Angriffen, der Umgehung der Authentifizierung über CVE-2021-33044 und CVE-2021-33045 sowie einer Peer-to-Peer-Relay-Technik.