Uma invasão de mineração de criptomoedas em sistemas Linux, na qual invasores falsificaram a telemetria de GPUs (unidades de processamento gráfico) NVIDIA, ocultaram processos de mineração com um rootkit de kernel (módulo que opera no núcleo do sistema operacional) e mantiveram canais de comando separados por meio da Tor e da Ethereum.
Identificada como REF3364, a operação implantou um conjunto coordenado de ferramentas em três servidores Linux com GPUs, após explorar um agente de tarefas do Ray exposto à internet.
Sua camada de ocultação atua tanto na visibilidade do sistema operacional quanto no monitoramento das GPUs, permitindo que cargas de trabalho não autorizadas continuem ativas enquanto ferramentas administrativas conhecidas retornam resultados enganosos.
A invasão começou pelo Ray, um framework de computação distribuída amplamente usado para treinamento e inferência de inteligência artificial, além de cargas de trabalho em Python.
Sua API de Jobs permite enviar aplicações para execução em clusters remotos, o que torna especialmente grave a exposição de interfaces de envio de tarefas.
Embora o painel do Ray no host comprometido escutasse apenas no endereço de loopback, seu agente de tarefas permanecia acessível externamente e aceitava envios sem autenticação.
A sondagem apareceu em 22 de outubro de 2026. Dois dias depois, uma tarefa enviada pelo invasor executou o nvidia-smi e exportou o inventário de GPUs. Em 25 de outubro, um reverse shell (conexão reversa que dá acesso remoto de linha de comando) em Python estabeleceu acesso interativo.
O shell inicialmente herdou os privilégios do dono da sessão do Ray. Em seguida, o invasor adicionou uma chave SSH (Secure Shell, protocolo de acesso remoto seguro) autorizada, obteve privilégios de root e preparou o conjunto de ferramentas em /opt/vadi_.
Os achados disponíveis não identificam como ocorreu a escalada de privilégios.
O componente de evasão que define a operação substitui a biblioteca libnvidia-ml.so.1 por um wrapper (invólucro) em torno da biblioteca genuína de gerenciamento da NVIDIA, a NVML (NVIDIA Management Library).
Em vez de desativar o monitoramento, o wrapper intercepta as consultas, chama o backend legítimo e modifica resultados selecionados antes de devolvê-los.
Segundo a Elastic Security Labs, a campanha tem como núcleo o SANSAR, um orquestrador escrito em Rust que supervisiona mineradores de CPU (unidade central de processamento) e GPU e oferece aos operadores acesso interativo ao shell.
Monitoramento de GPUs NVIDIA
A utilização das GPUs é reportada como zero, enquanto as leituras de temperatura são randomizadas entre 36 e 46 graus Celsius e o consumo de energia entre 100 e 200 watts.
O wrapper também filtra informações de processos, prejudicando ferramentas como o nvidia-smi, que dependem da NVML.
O SANSAR pode reconstruir e reinstalar esse componente a partir de arquivos-fonte recuperados. Seu instalador preserva a biblioteca genuína versionada para as chamadas ao backend, o que permite um monitoramento aparentemente funcional enquanto oculta seletivamente a atividade de mineração.
Um rootkit complementar baseado em ftrace, o acpi_thermal_mgr.ko, oculta processos configurados, threads de trabalho, arquivos e entradas de sockets.
Instalado via DKMS (Dynamic Kernel Module Support, sistema de módulos de kernel dinâmicos) com um carregador initramfs, ele pode ser recarregado durante a inicialização. Ganchos (hooks) suprimem registros de diretórios e fazem com que tentativas de inspeção retornem erros indicando que processos ou caminhos ocultos não existem.
O SANSAR usa o Arti, implementação do Tor em Rust, para se comunicar com um controlador onion codificado. Conexões diretas e conexões assistidas por bridges alcançam o mesmo serviço, com o Lyrebird oferecendo suporte aos transportes obfs4 e WebTunnel.
Suas 16 mensagens de entrada cobrem registro, sinais de atividade (heartbeats), sessões interativas de Bash, configuração de mineradores, encaminhamento de saídas e geração de tráfego TCP SYN.
A mineração de CPU usa o XMRig, renomeado como kurt; a de GPU usa o SRBMiner-MULTI, renomeado como tilki.
Os endereços de pools e as credenciais de carteiras chegam do controlador, e não de configurações de reserva fixas no código.
Um backdoor separado no systemd, chamado netns, recupera um endereço IPv4 codificado do controlador por meio de chamadas a contratos inteligentes na Ethereum e, em seguida, conecta-se diretamente por TCP na porta 8080.
Comandos do controlador podem iniciar shells Bash de saída adicionais. Assim, a Ethereum fornece a descoberta do controlador, e não o transporte do shell.
O caso mostra por que GPUs aparentemente ociosas não podem comprovar que um host está limpo: a própria interface de telemetria pode estar comprometida.
As investigações devem correlacionar envios ao Ray, persistência via SSH, alterações na biblioteca da NVIDIA, artefatos do DKMS, modificações em imagens de inicialização e serviços inesperados, em vez de confiar apenas nas leituras de utilização.
A visibilidade independente é essencial quando os relatórios do kernel e do espaço do usuário são manipulados simultaneamente.
IOCs (Indicadores de Comprometimento)
Nota: endereços IP e domínios são intencionalmente desfigurados (por exemplo, com [.]) para evitar resolução ou links acidentais. Eles devem ser restaurados ao formato original apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM (Gerenciamento de Informações e Eventos de Segurança).
