Los puntos finales de la API de Docker expuestos en Internet est\u00e1n siendo atacados por una sofisticada campa\u00f1a de criptojacking llamada Gato comando<\/strong>.<\/p>\n “La campa\u00f1a despliega un contenedor benigno generado utilizando el Proyecto comando<\/a>“, investigadores de seguridad de Cado, Nate Bill y Matt Muir. dicho<\/a> en un nuevo informe publicado hoy. “El atacante escapa de este contenedor<\/a> y ejecuta m\u00faltiples cargas \u00fatiles en el host Docker”.<\/p>\n Se cree que la campa\u00f1a ha estado activa desde principios de 2024, lo que la convierte en la segunda campa\u00f1a de este tipo descubierta en otros tantos meses. A mediados de enero, la empresa de seguridad en la nube tambi\u00e9n arroj\u00f3 luz sobre otro grupo de actividades que apunta a hosts Docker vulnerables para implementar el minero de criptomonedas XMRig, as\u00ed como el software 9Hits Viewer.<\/p>\n Commando Cat emplea Docker como vector de acceso inicial para entregar una colecci\u00f3n de cargas \u00fatiles interdependientes desde un servidor controlado por el actor que es responsable de registrar la persistencia, abrir puertas traseras al host, filtrar las credenciales del proveedor de servicios en la nube (CSP) y lanzar el minero.<\/p>\n Posteriormente se abusa del punto de apoyo obtenido al violar instancias susceptibles de Docker para implementar un contenedor inofensivo utilizando la herramienta de c\u00f3digo abierto Commando y ejecutar un comando malicioso que le permite escapar de los l\u00edmites del contenedor a trav\u00e9s del comando chroot.<\/p>\n Tambi\u00e9n ejecuta una serie de comprobaciones para determinar si los servicios denominados “sys-kernel-debugger”, https:\/\/thehackernews.com\/2024\/02\/”gsc”, https:\/\/thehackernews.com\/2024\/02\/”c3pool_miner ,” y “dockercache” est\u00e1n activos en el sistema comprometido y pasan a la siguiente etapa solo si se supera este paso.<\/p>\n “El prop\u00f3sito de la verificaci\u00f3n de sys-kernel-debugger no est\u00e1 claro: este servicio no se utiliza en ninguna parte del malware ni forma parte de Linux”, dijeron los investigadores. “Es posible que el servicio sea parte de otra campa\u00f1a con la que el atacante no quiera competir”.<\/p>\n La fase siguiente implica eliminar cargas \u00fatiles adicionales del servidor de comando y control (C2), incluida una puerta trasera de script de shell (user.sh) que es capaz de agregar una clave SSH al ~\/.ssh\/archivo Authorized_keys<\/a> y crear un usuario fraudulento llamado “juegos” con una contrase\u00f1a conocida por el atacante e incluirla en el archivo \/etc\/sudoers<\/a>.<\/p>\n Tambi\u00e9n se entregan de manera similar tres scripts de shell m\u00e1s (tshd.sh, gsc.sh, aws.sh) que est\u00e1n dise\u00f1ados para eliminar Tiny SHell y una versi\u00f3n improvisada de netcat<\/a> llamado gs-netcat y exfiltrar las credenciales<\/p>\n Los actores de amenazas “ejecutan un comando en el contenedor cmd.cat\/chattr que recupera la carga \u00fatil de su propia infraestructura C2”, dijo Muir a The Hacker News, se\u00f1alando que esto se logra usando curl o wget y canalizando la carga \u00fatil resultante directamente al bash. shell de comando.<\/p>\n “En lugar de utilizar \/tmp, [gsc.sh] tambi\u00e9n usa \/dev\/shm<\/a> “En su lugar, act\u00faa como un almac\u00e9n de archivos temporal pero con respaldo de memoria”, dijeron los investigadores. “Es posible que se trate de un mecanismo de evasi\u00f3n, ya que es mucho m\u00e1s com\u00fan que el malware use \/tmp”.<\/p>\n “Esto tambi\u00e9n da como resultado que los artefactos no toquen el disco, lo que dificulta un poco la investigaci\u00f3n forense. Esta t\u00e9cnica se ha utilizado antes en BPFdoor, un programa de alto perfil campa\u00f1a de linux<\/a>“.<\/p>\n El ataque culmina con la implementaci\u00f3n de otra carga \u00fatil que se entrega directamente como un script codificado en Base64 en lugar de recuperarse del servidor C2, lo que, a su vez, descarta el minero de criptomonedas XMRig, no sin antes eliminar los procesos mineros competidores de la m\u00e1quina infectada.<\/p>\n Los or\u00edgenes exactos del actor de amenazas detr\u00e1s de Commando Cat no est\u00e1n claros actualmente, aunque se ha observado que los scripts de shell y la direcci\u00f3n IP C2 se superponen con aquellos vinculados a grupos de criptojacking como TeamTNT en el pasado, lo que plantea la posibilidad de que pueda ser un grupo imitador. .<\/p>\n “El malware funciona como un ladr\u00f3n de credenciales, una puerta trasera altamente sigilosa y un minero de criptomonedas, todo en uno”, dijeron los investigadores. “Esto lo hace vers\u00e1til y capaz de extraer el mayor valor posible de las m\u00e1quinas infectadas”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/02\/API-de-Docker-expuestas-bajo-ataque-en-la-campana-de.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n