Mexalz (uneori scris «Mexals») este o campanie malițioasă de tip **cryptojacking** care a vizat servere Linux, în special instanțe cloud și VPS. Contul X @mexalz este asociat public cu operațiunea, iar operatorii au folosit atacuri de tip **SSH brute-force/credential stuffing**, scripturi de instalare și mecanisme de persistență pentru a instala minere pentru Monero. Investigații tehnice au fost publicate în 2021 și au fost urmărite ulterior; probe precum scriptul `mexalz.sh` au fost listate în baze de date de malware.
Rezumat Operatorii compromit servere expuse prin atacuri de tip SSH brute-force/credential stuffing, descarcă scripturi de instalare (ex.: mexalz.sh) și instalează minere pentru Monero (XMR). Persistența se realizează frecvent prin modificări în fișierele de inițializare shell (`.bashrc`, `.bash_profile`), crearea de unități `systemd` și adăugarea de chei/conturi SSH. Contul X @mexalz este menționat public ca operator.
Cronologie selectivă
**2020–2021** — detectări inițiale; analiza Bitdefender descrie tool-uri și infrastructura folosită. **2021 (iulie)** — acoperire media (VICE România) explică metoda și folosește constatările Bitdefender. **2022–2023** — resurgență observată și analizată de Akamai cu tehnici actualizate.
Metode și tehnici
Scanare de porturi și identificare SSH expus. Brute-force / credential stuffing (unele tool-uri scrise în Golang). Descărcarea și execuția de scripturi shell (ex.: mexalz.sh) care instalează binare miner (XMRig sau build custom). Persistență și ascundere (modificări .bashrc, unități systemd, ofuscarea payloadurilor).
Infrastructură și IOCs (exemple)
> Avertisment: IOCs expira rapid. Pentru operațiuni defensive folosiți feeduri TI live.
Domenii/documente: mexalz.us (documentat în rapoarte). Sample notate: mexalz.sh (listat în MalwareBazaar / abuse.ch). Observed tools: XMRig, diverse loader-e și scripturi shell.
Victime și impact Țintele tipice sunt instanțe cloud și servere VPS cu autentificări slabe; impactul include consum CPU ridicat, costuri financiare și vectori pentru atacuri suplimentare.
Atribuire și controverse Contul X @mexalz se revendică ca autor al campaniei și este menționat în mod public în diverse articole. Sursele independente confirmă artefactele și infrastructura (scripturi, domenii), dar nu există dovezi juridice directe pentru atribuirea exactă.
Acoperire media Articole și analize: Bitdefender (14 iulie 2021), VICE România (26 iulie 2021), Akamai (12 aprilie 2023), Heimdal Security (15 iulie 2021), The Hacker News (19 iulie 2021), și MalwareBazaar.
Note finale Acest articol sintetizează informațiile publice disponibile; metodele și IOCs se pot schimba rapid. Pentru acțiuni defensive folosiți feeduri de threat intelligence și echipe specializate.
Note
Categorie:Securitate cibernetică Categorie:Malware Categorie:Atacuri informatice