Investigadores de ciberseguridad han descubierto una nueva campa\u00f1a de malware dirigida a puntos finales de Docket API expuestos p\u00fablicamente con el objetivo de entregar mineros de criptomonedas y otras cargas \u00fatiles.<\/p>\n
Entre las herramientas implementadas se incluye una herramienta de acceso remoto capaz de descargar y ejecutar m\u00e1s programas maliciosos, as\u00ed como una utilidad para propagar el malware a trav\u00e9s de SSH, la plataforma de an\u00e1lisis en la nube Datadog. dicho<\/a> en un informe publicado la semana pasada.<\/p>\n El an\u00e1lisis de la campa\u00f1a ha descubierto superposiciones t\u00e1cticas con una actividad anterior denominada Spinning YARN, que se observ\u00f3 dirigida a servicios Apache Hadoop YARN, Docker, Atlassian Confluence y Redis mal configurados con fines de criptojacking.<\/p>\n El ataque comienza cuando los actores de amenazas se concentran en los servidores Docker con puertos expuestos (n\u00famero de puerto 2375) para iniciar una serie de pasos, comenzando con el reconocimiento y la escalada de privilegios antes de pasar a la fase de explotaci\u00f3n.<\/p>\n Las cargas \u00fatiles se recuperan de la infraestructura controlada por el adversario mediante la ejecuci\u00f3n de un script de shell llamado “vurl”. Esto incluye otro script de shell llamado “b.sh” que, a su vez, contiene un binario codificado en Base64 llamado “vurl” y tambi\u00e9n es responsable de buscar y ejecutar un tercer script de shell conocido como “ar.sh” (o “ai. sh”).<\/p>\n “El [‘b.sh’] “El script decodifica y extrae este binario a \/usr\/bin\/vurl, sobrescribiendo la versi\u00f3n del script de shell existente”, dijo el investigador de seguridad Matt Muir. “Este binario se diferencia de la versi\u00f3n del script de shell en el uso de c\u00f3digo r\u00edgido [command-and-control] dominios.”<\/p>\n El script de shell, “ar.sh”, realiza una serie de acciones, incluida la configuraci\u00f3n de un directorio de trabajo, la instalaci\u00f3n de herramientas para escanear Internet en busca de hosts vulnerables, la desactivaci\u00f3n del firewall y, en \u00faltima instancia, la recuperaci\u00f3n de la carga \u00fatil de la siguiente etapa, denominada “chkstart”. “.<\/p>\n Un binario de Golang como vurl, su objetivo principal es configurar el host para acceso remoto y recuperar herramientas adicionales, incluidas “m.tar” y “top”, de un servidor remoto, el \u00faltimo de los cuales es un minero XMRig.<\/p>\n “En la campa\u00f1a original de Spinning YARN, gran parte de la funcionalidad de chkstart se manejaba mediante scripts de shell”, explic\u00f3 Muir. “Transferir esta funcionalidad al c\u00f3digo Go podr\u00eda sugerir que el atacante est\u00e1 intentando complicar el proceso de an\u00e1lisis, ya que el an\u00e1lisis est\u00e1tico del c\u00f3digo compilado es significativamente m\u00e1s dif\u00edcil que los scripts de shell”.<\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/06\/Nuevo-malware-apunta-a-las-API-de-Docker-expuestas-para.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n