Kẻ tấn công khai thác RCE của Marimo, chạm SSH bastion trong 8 giây
"Sysdig reported a human-operated attack that exploited CVE-2026-39987, a pre-authenticated RCE in Marimo, and pivoted from initial access to an SSH bastion host in about eight seconds using a hand-built Python toolkit. The activity included credential harvesting from AWS Secrets Manager and SSH key use, while a separate section of the article described a Redis cryptomining campaign using SLAVEOF-based rogue replication to deploy XMRig across thousands of servers."
Rủi ro cao do RCE trước xác thực, khả năng pivot rất nhanh sang hạ tầng nội bộ, và nguy cơ lộ khóa SSH/AWS credentials.
Có thể gây chiếm quyền hệ thống, truy cập trái phép vào tài nguyên cloud, và phát sinh gián đoạn vận hành nếu không vá và xoay vòng thông tin xác thực kịp thời.
Sysdig ghi nhận một chiến dịch tấn công do con người điều khiển, trong đó đối tượng khai thác CVE-2026-39987 trên Marimo để đạt remote code execution trước xác thực, sau đó chuyển hướng sang SSH bastion host chỉ trong khoảng 8 giây. Theo báo cáo, kẻ tấn công dùng một Python toolkit tự viết, thực hiện chuỗi hành động gồm mở shell tương tác, truy vấn AWS Secrets Manager, lấy SSH private key và đăng nhập vào hạ tầng đích.
Hoạt động này diễn ra rất nhanh: từ kết nối WebSocket đầu tiên đến khi xác thực SSH thành công chỉ mất vài giây. Sysdig cho biết chiến dịch kéo dài khoảng 9 giờ, với hơn 850 lệnh tương tác, và không sử dụng công cụ tấn công công khai phổ biến. Điều này cho thấy các đối tượng có kỹ năng vẫn có thể di chuyển với tốc độ gần tương đương các kịch bản tự động hóa.
Khuyến nghị: vá Marimo ngay khi có bản cập nhật, rà soát các phiên bản đang phơi lộ ra Internet, kiểm tra log WebSocket/SSH, và xoay vòng AWS credentials cùng SSH keys nếu nghi ngờ bị lộ. Đồng thời, cần giới hạn quyền truy cập vào Secrets Manager và tăng giám sát hành vi pivot nội bộ.
Bài viết cũng đề cập một chiến dịch cryptomining trên Redis dùng SLAVEOF để triển khai XMRig trên hàng nghìn máy chủ.