新的恶意软件活动在 Docker 和 Kubernetes 中挖掘加密货币

阅读量76391

发布时间 : 2024-09-27 14:29:49

x
译文声明

本文是翻译文章,文章原作者 Do son,文章来源:securityonline

原文地址:https://securityonline.info/new-malware-campaign-mines-crypto-in-docker-kubernetes/

译文仅供参考,具体内容表达以及含义原文为准。

Datadog Security Research 发现了一个针对 Docker 和 Kubernetes 环境的新的广泛恶意软件活动,其中威胁行为者利用容器编排技术中的漏洞来挖掘加密货币。该活动依赖于暴露在互联网上的配置错误的 Docker API 端点,已经破坏了众多容器和云主机,在多个平台上部署了加密货币矿工。

攻击从威胁行为者扫描 Internet 以查找缺乏正确身份验证的 Docker API 端点开始。攻击者使用 masscan 和 zgrab 等工具识别易受攻击的 Docker 容器,并执行生成新容器的恶意命令,从而破坏系统。攻击者使用这些受感染的容器来部署 XMRig,这是一种流行的加密货币挖矿软件,它为攻击者的钱包挖掘门罗币 (XMR)。

该活动涉及的关键工具之一是初始化脚本 (init.sh),一旦执行,它就会为进一步的入侵设置容器。该脚本从攻击者的命令和控制 (C2) 服务器下载额外的有效负载,安装必要的数据传输工具,如 curl 和 wget,甚至部署自定义进程隐藏程序以防止被发现。

恶意软件并不止于感染单个 Docker 实例。一旦进入,它就会使用一系列横向移动技术在云基础设施中传播,特别是针对 Docker 和 Kubernetes。kube.lateral.sh 和 spread_docker_local.sh 等脚本会扫描局域网中的开放 Kubernetes(端口 10250)和 Docker(端口 2375、2376 和 2377)终端节点,从而允许恶意软件像蠕虫一样在多个系统中传播。

受感染的 Kubernetes 集群通过以 Kubelet API 为目标进一步受到损害,该 API 允许攻击者直接在集群内的容器上管理 Pod 并执行恶意软件。通过利用此 API,威胁行为者可以部署专门用于挖掘加密货币的额外容器,从而显着扩大其运营规模。

该恶意软件还使用流行的容器镜像存储库 Docker Hub 来托管和分发其恶意负载。Datadog 研究人员发现,用户名为 nmlmweb3 的 Docker Hub 用户发布了包含恶意脚本的图像。恶意软件会下载并执行这些图像,以进一步传播攻击。

有趣的是,攻击者还通过强制受感染的 Docker 实例离开现有的 Swarm 网络并加入由威胁行为者控制的恶意 Swarm 来操纵 Docker Swarm 环境。这使他们能够协调和控制大量受感染的主机,作为专门用于加密货币挖掘的僵尸网络的一部分。

该活动强调了云环境中配置错误的关键问题,特别是未经身份验证就暴露的 Docker API 端点。这些开放的入口点充当初始入侵的攻击媒介。然后,威胁行为者使用其他脚本(例如 spread_ssh.sh)来定位 SSH 服务器,扫描配置错误的系统并使用它们进一步传播。

该活动的成功在于它能够利用这些常见的错误配置,使其能够在云基础设施中迅速传播。每个受感染的节点都有助于大规模的分布式加密挖矿操作,该操作继续为攻击者创造利润,干扰最小。

为了防范这些威胁,云管理员必须确保适当的安全配置,包括对 Docker API 使用身份验证、保护 Kubernetes 集群以及监控可疑活动。随着加密劫持活动的不断发展,主动安全措施对于保护云环境至关重要。

本文翻译自securityonline 原文链接。如若转载请注明出处。
分享到:微信
+10赞
收藏
安全客
分享到:微信

发表评论

内容需知
合作单位
  • 安全客
  • 安全客
Copyright © 北京奇虎科技有限公司 三六零数字安全科技集团有限公司 安全客 All Rights Reserved 京ICP备08010314号-66