На взломанных Linux-серверах с GPU майнинг скрывали, подменяя показания штатных инструментов NVIDIA. Elastic Security Labs раскрыла 12 ноября набор SANSAR: модифицированная библиотека NVML возвращала программам мониторинга загрузку GPU в 0%, а температуру и потребление заменяла случайными значениями.

NVML — посредник, через который утилита nvidia-smi получает сведения о видеокарте. Подмена сначала обращалась к настоящей библиотеке NVIDIA, затем меняла часть ответов. Отдельный модуль в ядре Linux скрывал выбранные процессы, файлы и сетевые соединения. Так маскировали и работу майнера, и следы его присутствия.

Входом стал доступный из интернета агент заданий Ray — системы распределённых вычислений. Хотя её панель управления слушала только локальный адрес, агент принимал задания без проверки пользователя. Первые проверки сервера отмечены 22 октября, а 25 октября атакующий получил командную оболочку. Набор установили после получения прав root; способ повышения привилегий в отчёте не раскрыт.

Исследование охватывает три Linux-хоста; запуск GPU-майнера отмечен на двух. Полный масштаб кампании и ущерб неизвестны. Нулевая загрузка здесь означала подделанный ответ программы мониторинга: сами вычисления продолжались.