欧洲超级电脑被植入挖矿程式，数国研究机构遭殃

上周欧洲包括英国、瑞士、德国、西班牙等国家，先后传出超级电脑被植入挖矿程式病毒，而暂停营运或对外连线。

首先是英国超级电脑服务ARCHER于5月11日公告， ARCHER因登入节点的安全入侵事故而关闭，由负责管理的爱丁堡平行计算中心及硬件商HP/Cray进行调查。ARCHER并在5月13日要求用户，重设所有ARCHER密码及SSH金钥。

同一天德国贝登符腾堡邦也宣布全邦高效能运算系统（HPC）发生IT安全事件，导致5所大学的超级电脑无法使用。德国巴伐利亚科学院下的莱布尼兹运算中心周四公告，因安全事件波及超级电脑，为防进一步感染，当局已切断3台超级电脑和外界的连线。

无独有偶，周六瑞士科学计算中心（CSCS）也公告，侦测到和前述事件相关的攻击，也采取切断外部连线的处置并通知受影响的单位。目前仅CSCS的天气预测系统MetoSwiss未受影响。

此外，西班牙巴塞罗那的超级电脑，及慕尼黑大学物理学院高速运算丛集，上周也先后被安全研究人员揭露，发生恶意程式攻击而关闭的消息。

所有受害的研究机构皆未再公布调查结果，但欧洲网格基础架构（EGI）电脑安全事件回应小组（CSIRT），则公布两起波及多国超级电脑的网络攻击事件。攻击者利用外泄的SSH帐密由一家研究机构跳到另一家，操控受骇超级电脑执行Monero币（XMR）的采矿，或当成代理服务器或Tunnel连线主机，用以迂回连到真正的挖矿主机，或是以SSH连线登入其他超级电脑。

美国安全厂商Cado Security则指出，两起事件的样本分别为Loader和Cleaner，前者用以执行攻击者的指令，后者则还能移除log档以删除攻击证据。至少在英国一案中，攻击者是开采了超级电脑CVE-2019-15666漏洞，而取得权限升级。

EGI分析，骇客窃取了波兰与加拿大当地大学、中国上海交通大学以及中国科学技术网（CSTNet）最初的SSH帐密，由此登入超级电脑丛集向其他机构发动攻击。

这不是第一次超级电脑被用来挖矿。ZDNet报导，俄罗斯核子中心及澳洲气象局的超级电脑，在2018年都发生被用来挖矿的资安事件，但是内部员工所为。近期欧洲地区多台超级电脑被植入挖矿程式事件，却是由骇客所犯下。