Investigadores de ciberseguridad han descubierto la primera campaña ilícita de minería de criptomonedas utilizada para acuñar Dero desde principios de febrero de 2023.
«La novedosa operación de cryptojacking de Dero se concentra en ubicar clústeres de Kubernetes con acceso anónimo habilitado en una API de Kubernetes y escuchar en puertos no estándar accesibles desde Internet», CrowdStrike dicho en un nuevo informe compartido con The Hacker News.
El desarrollo marca un cambio notable de Monero, que es una criptomoneda predominante utilizada en este tipo de campañas. Se sospecha que puede tener que ver con el hecho de que Dero «ofrece mayores recompensas y proporciona las mismas o mejores características de anonimato».
Los ataques, atribuidos a un actor desconocido con motivación financiera, comienzan con la búsqueda de clústeres de Kubernetes con la autenticación configurada como –anónimo-autorización=verdaderoque permite que las solicitudes anónimas al servidor eliminen las cargas útiles iniciales de tres direcciones IP diferentes basadas en EE. UU.
Esto incluye implementar un Kubernetes DaemonSet llamado «proxy-api», que, a su vez, se usa para colocar un pod malicioso en cada nodo del clúster de Kubernetes para iniciar la actividad minera.
Con ese fin, el archivo YAML de DaemonSet está orquestado para ejecutar una imagen de Docker que contiene un binario de «pausa», que en realidad es el minero de monedas dero.
«En una implementación legítima de Kubernetes, Kubernetes utiliza contenedores de ‘pausa’ para iniciar un pod», señaló la compañía. «Los atacantes pueden haber usado este nombre para mezclarse y evitar una detección obvia».
Descubra los peligros ocultos de las aplicaciones SaaS de terceros
¿Conoce los riesgos asociados con el acceso de aplicaciones de terceros a las aplicaciones SaaS de su empresa? Únase a nuestro seminario web para conocer los tipos de permisos que se otorgan y cómo minimizar el riesgo.
La compañía de ciberseguridad dijo que identificó una campaña paralela de minería de Monero que también apuntaba a los clústeres de Kubernetes expuestos al intentar eliminar el DaemonSet «proxy-api» existente asociado con la campaña Dero.
Esta es una indicación de la lucha en curso entre los grupos de cryptojacking que compiten por los recursos de la nube para tomar y retener el control de las máquinas y consumir todos sus recursos.
«Ambas campañas están tratando de encontrar superficies de ataque de Kubernetes no descubiertas y están luchando», dijeron los investigadores de amenazas de CrowdStrike, Benjamin Grap y Manoj Ahuje.