Nova campanha de cryptomining XMRig explora PAM do Linux para ataque furtivo e persistência hidra

A nova campanha de cryptomining XMRig V25, também chamada Geração 26, eleva o nível da ameaça ao ambiente Linux. Ela explora a funcionalidade Pluggable Authentication Modules (PAM) do Linux, especificamente a política pam_rootok. Essa tática permite que a botnet se mova com privilégios de root para contas de usuário comuns sem a necessidade de senha, dificultando a rastreabilidade e fragmentando a atividade maliciosa entre diversos usuários.

A sofisticação do ataque se manifesta na execução fileless. O binário customizado do XMRig 6.25.0, uma vez executado, desvincula-se do disco e opera diretamente da memória. Isso anula a eficácia de detecções baseadas em arquivos. Além disso, a campanha suprime logs de autenticação e mascara processos e tráfego de rede, tornando a detecção e a resposta a incidentes muito mais complexas. A persistência é descrita como 'semelhante a uma hidra', reativando-se de contas de baixo privilégio mesmo após a remediação do acesso root.

A cobertura anterior do CEVIU News, em 27 de julho de 2026, alertava sobre ataques XMRig em fóruns do Steam, usando comandos PowerShell. A evolução é clara: saímos de um vetor de ataque focado em usuários Windows e engenharia social para uma campanha que mira infraestruturas Linux com técnicas altamente furtivas.

A Geração 26 (V25) não é apenas uma nova versão do minerador. Representa uma mudança estratégica em como os operadores de cryptomining abordam seus alvos, priorizando a exploração de identidade, a execução em memória e a evasão forense em sistemas Linux, diferentemente das táticas de ataque direto e menos sofisticadas vistas anteriormente.

Para empresas com infraestrutura Linux, esta campanha sublinha uma lacuna crítica nas defesas tradicionais. Scaneamento de arquivos estáticos e bloqueio de DNS já não são suficientes. É preciso investir em monitoramento contínuo da integridade do PAM e da infraestrutura de logging, além de auditorias de alta fidelidade para transições rápidas de root para usuário.

A necessidade de forense de memória para recuperar artefatos em tempo de execução, argumentos de processo e payloads JSON-RPC é urgente. Esta campanha, e outras como a reportada em 15 de junho de 2026 sobre ataques a pacotes do Arch User Repository, serve como um modelo para futuros ataques de mineradores de criptomoedas em Linux, exigindo uma reavaliação completa das estratégias de segurança.