Los investigadores de ciberseguridad han advertido sobre una campa\u00f1a de criptojacking en curso dirigida a cl\u00fasteres de Kubernetes mal configurados para extraer la criptomoneda Dero.<\/p>\n
La empresa de seguridad en la nube Wiz, que arroj\u00f3 luz sobre la actividad, dijo que es una variante actualizada de una operaci\u00f3n con motivaci\u00f3n financiera que fue documentada por primera vez por CrowdStrike en marzo de 2023.<\/p>\n
“En este incidente, el actor de amenazas abus\u00f3 del acceso an\u00f3nimo a un cl\u00faster con acceso a Internet para lanzar im\u00e1genes de contenedores maliciosos alojados en Docker Hub, algunos de los cuales tienen m\u00e1s de 10.000 extracciones”, afirman los investigadores de Wiz Avigayil Mechtinger, Shay Berkovich y Gili Tikochinski. dicho<\/a>. “Estas im\u00e1genes de la ventana acoplable contienen un minero DERO empaquetado con UPX llamado ‘pausa'”.<\/p>\n El acceso inicial se logra dirigi\u00e9ndose a servidores API de Kubernetes accesibles externamente con autenticaci\u00f3n an\u00f3nima habilitada para entregar las cargas \u00fatiles del minero.<\/p>\n A diferencia de la versi\u00f3n 2023 que implement\u00f3 un DaemonSet de Kubernetes llamado “proxy-api”, la \u00faltima versi\u00f3n utiliza DaemonSets aparentemente benignos llamados “k8s-device-plugin” y “pytorch-container” para, en \u00faltima instancia, ejecutar el minero en todos los nodos del cl\u00faster. .<\/p>\n Adem\u00e1s, la idea detr\u00e1s de denominar al contenedor “pausa” es un intento de hacerse pasar por el contenedor de “pausa” real<\/a> que se utiliza para iniciar un pod y aplicar el aislamiento de la red.<\/p>\n El minero de criptomonedas es un binario de c\u00f3digo abierto escrito en Go que se ha modificado para codificar la direcci\u00f3n de la billetera y las URL personalizadas del grupo de miner\u00eda Dero. Tambi\u00e9n est\u00e1 ofuscado usando el c\u00f3digo abierto. empacador UPX<\/a> resistirse al an\u00e1lisis.<\/p>\n La idea principal es que al incorporar la configuraci\u00f3n de miner\u00eda dentro del c\u00f3digo, es posible ejecutar el minero sin ning\u00fan argumento de l\u00ednea de comandos que normalmente es monitoreado por mecanismos de seguridad.<\/p>\n Wiz dijo que identific\u00f3 herramientas adicionales desarrolladas por el actor de amenazas, incluida una muestra de Windows de un minero Dero empaquetado con UPX, as\u00ed como un script de dropper shell dise\u00f1ado para finalizar procesos mineros competidores en un host infectado y eliminar GMiner<\/a> de GitHub.<\/p>\n “[The attacker] “Registramos dominios con nombres que parecen inocentes para evitar levantar sospechas y para integrarse mejor con el tr\u00e1fico web leg\u00edtimo, mientras enmascaran la comunicaci\u00f3n con grupos mineros conocidos”, dijeron los investigadores.<\/p>\n “Estas t\u00e1cticas combinadas demuestran los continuos esfuerzos del atacante por adaptar sus m\u00e9todos y estar un paso por delante de los defensores”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/06\/La-campana-de-Cryptojacking-apunta-a-clusteres-de-Kubernetes-mal.png\")
<\/a><\/center><\/div>\n