Especialistas em cibersegurança descobriram uma sofisticada operação de malware envolvendo o direcionamento de pontos de extremidade de API Docker expostos. Essa campanha maliciosa tem como objetivo principal distribuir software de mineração de criptomoedas, juntamente com outras cargas perigosas.
Ferramentas importantes utilizadas nessa operação incluem um instrumento de acesso remoto capaz de baixar malware adicional, bem como um utilitário para disseminar o código malicioso via SSH, conforme revelado em um recente relatório da empresa de análise de nuvem Datadog.
Os pesquisadores observaram semelhanças entre esta e uma campanha anterior conhecida como Spinning YARN, que também explorou serviços mal configurados como Apache Hadoop YARN, Docker, Atlassian Confluence e Redis para cryptojacking.
Os atacantes iniciam seu esquema identificando servidores Docker não seguros, utilizando portas abertas específicas para iniciar um ataque de várias etapas que inclui reconhecimento, elevação de privilégios e exploração eventual.
Esses adversários usam um script de shell chamado “vurl” para adquirir cargas de uma infraestrutura controlada. O script “vurl” recupera um executável codificado em Base64 e um terceiro script de shell para ações nefastas adicionais. O especialista em segurança Matt Muir confirmou que o executável usurpa o script em seu uso de domínios de controle e comando incorporados.
O binário baseado em Golang, adequadamente chamado “chkstart”, parece simplificar a capacidade do malware de configurar acesso remoto e baixar ferramentas adicionais, que incluem um arquivo “m.tar” e o comando “top”, disfarçando um minerador XMRig em seu interior.
Módulos de malware adicionais, como “exeremo”, facilitam o movimento lateral nas redes e auxiliam na propagação da infecção, enquanto “fkoths”, outro binário baseado em Go, é projetado para apagar evidências da intrusão e frustrar a análise.
A última fase também introduz um script de shell, “s.sh”, para configurar utilitários de varredura capazes de identificar e sinalizar sistemas em risco.
No geral, a evolução desta campanha demonstra a exploração contínua de hosts Docker vulneráveis para ataques cibernéticos e a adaptação de cargas de malware para dificultar investigações forenses.
Fatos adicionais relevantes:
– O Docker é uma plataforma aberta para desenvolver, enviar e executar aplicativos, que utiliza virtualização em nível de sistema operacional para entregar software em pacotes chamados contêineres.
– Cryptojacking é uma atividade ilegal em que um atacante se apropria dos recursos computacionais de uma vítima para minerar criptomoedas.
– A prevalência do Docker e suas APIs como alvo para cryptojacking decorre do fato de que muitas implantações não são adequadamente protegidas, deixando-as expostas à internet sem mecanismos de autenticação suficientes.
– A ascensão da computação em nuvem levou a um aumento nesse tipo de ataques, já que muitas organizações migram para a nuvem sem compreender totalmente ou implementar as melhores práticas de segurança.
– O fato de os contêineres poderem ser facilmente iniciados, encerrados e dimensionados torna os ambientes Docker atraentes para cryptojackers, pois podem explorar vários contêineres para suas operações de mineração uma vez que obtenham acesso.
Perguntas e respostas-chave:
– O que é cryptojacking? O cryptojacking é o uso não autorizado do poder de processamento do computador de outra pessoa para minerar criptomoedas. Os atacantes geralmente fazem isso infectando um sistema com malware que minera criptomoedas silenciosamente ou explorando aplicativos da web vulneráveis.
– Como os atacantes exploram APIs do Docker para cryptojacking? Os atacantes exploram APIs do Docker encontrando APIs expostas que não são protegidas por autenticação. Eles então usam esses pontos de acesso para implantar contêineres que executam software de mineração de criptomoedas, como o XMRig para minerar Monero.
Desafios e controvérsias-chave:
– Configurações de segurança: Um dos maiores desafios é garantir que as APIs do Docker sejam configuradas corretamente e protegidas com uma forte autenticação para evitar acessos não autorizados.
– Detecção e resposta: Identificar contêineres comprometidos e determinar o alcance de um ataque pode ser desafiador, pois os atacantes usam várias técnicas para ocultar sua presença e prolongar suas atividades maliciosas.
– Melhores práticas: Há um debate contínuo dentro da comunidade de cibersegurança sobre as melhores práticas para implantar e gerenciar contêineres Docker e garantir a segurança de ambientes de nuvem contra esses ataques.
Vantagens e desvantagens:
– Vantagens:
– A portabilidade e a facilidade de uso do Docker o tornam benéfico para desenvolvedores e organizações implantarem rapidamente aplicativos.
– Os contêineres podem levar a uma utilização mais eficiente de recursos em comparação com ambientes virtualizados tradicionais.
– Desvantagens:
– Se não for seguro corretamente, os contêineres e APIs do Docker podem ser pontos de entrada para atacantes lançarem cryptojacking e outras operações maliciosas.
– A crescente sofisticação dos ataques pode tornar a detecção difícil, pois os atacantes estão continuamente evoluindo seus métodos para evadir as medidas de segurança.
Para mais informações sobre ameaças emergentes no cenário de cibersegurança, consulte recursos de organizações respeitáveis do setor:
– Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA)
– Europol
Certifique-se sempre de visitar esses sites diretamente digitando a URL em seu navegador para evitar phishing ou sites fraudulentos.