Los investigadores de ciberseguridad han descubierto una nueva campa\u00f1a de criptojacking dirigida a la API de Docker Engine con el objetivo de cooptar las instancias para unirse a un Docker Swarm malicioso controlado por el actor de amenazas.<\/p>\n
Esto permiti\u00f3 a los atacantes “utilizar las funciones de orquestaci\u00f3n de Docker Swarm con fines de comando y control (C2)”, dijeron los investigadores de Datadog Matt Muir y Andy Giron. dicho<\/a> en un an\u00e1lisis.<\/p>\n Los ataques aprovechan Docker para obtener acceso inicial para implementar un minero de criptomonedas en contenedores comprometidos, al mismo tiempo que obtienen y ejecutan cargas \u00fatiles adicionales que son responsables de realizar el movimiento lateral a hosts relacionados que ejecutan Docker, Kubernetes o SSH.<\/p>\n Espec\u00edficamente, esto implica identificar puntos finales de Docker API expuestos y no autenticados utilizando herramientas de escaneo de Internet, como Masscan y ZGrab.<\/p>\n En puntos finales vulnerables, la API de Docker se utiliza para generar un contenedor Alpine y luego recuperar un script de shell de inicializaci\u00f3n (init.sh) desde un servidor remoto (“solscan[.]live”) que, a su vez, verifica si se est\u00e1 ejecutando como usuario root y si las herramientas como curl y wget est\u00e1n instaladas antes de descargar el minero XMRig.<\/p>\n Al igual que otras campa\u00f1as de criptojacking, utiliza el rootkit libprocesshider para ocultar el proceso minero malicioso al usuario cuando ejecuta herramientas de enumeraci\u00f3n de procesos como top y ps.<\/p>\n El script de shell tambi\u00e9n est\u00e1 dise\u00f1ado para recuperar otros tres scripts de shell (kube.lateral.sh, spread_docker_local.sh y spread_ssh.sh) del mismo servidor para el movimiento lateral a los puntos finales Docker, Kubernetes y SSH en la red.<\/p>\n Spread_docker_local.sh “usa masscan y zgrab para escanear los mismos rangos de LAN […] para nodos con los puertos 2375, 2376, 2377, 4244 y 4243 abiertos”, dijeron los investigadores. “Estos puertos est\u00e1n asociados con Docker Engine o Docker Swarm”.<\/p>\n “Para cualquier IP descubierta con los puertos de destino abiertos, el malware intenta generar un nuevo contenedor con el nombre alpine. Este contenedor se basa en una imagen llamada upspin, alojada en Docker Hub por el usuario nmlmweb3”.<\/p>\n La imagen upspin est\u00e1 dise\u00f1ada para ejecutar el script init.sh antes mencionado, permitiendo as\u00ed que el malware del grupo se propague en forma de gusano a otros hosts Docker.<\/p>\n Es m\u00e1s, la etiqueta de imagen de Docker que se utiliza para recuperar la imagen de Docker Hub se especifica en un archivo de texto alojado en el servidor C2, lo que permite a los actores de amenazas recuperarse f\u00e1cilmente de posibles eliminaciones simplemente cambiando el contenido del archivo para que apunte a otro diferente. imagen del contenedor.<\/p>\n El tercer script de shell, spread_ssh.sh, es capaz de comprometer servidores SSH, adem\u00e1s de agregar una clave SSH y un nuevo usuario llamado ftp que permite a los actores de amenazas conectarse de forma remota a los hosts y mantener un acceso persistente.<\/p>\n Tambi\u00e9n busca varios archivos de credenciales relacionados con SSH, Amazon Web Services (AWS), Google Cloud y Samba en rutas de archivos codificadas dentro del entorno de GitHub Codespaces (es decir, el directorio “\/home\/codespace\/”), y si encontrados, los sube al servidor C2.<\/p>\n En la etapa final, las cargas \u00fatiles de movimiento lateral de Kubernetes y SSH ejecutan otro script de shell llamado setup_mr.sh que recupera e inicia el minero de criptomonedas.<\/p>\n Datadog dijo que tambi\u00e9n descubri\u00f3 otros tres scripts alojados en el servidor C2:<\/p>\n TDGINIT.sh tambi\u00e9n se destaca por su manipulaci\u00f3n de Docker Swarm al obligar al host a abandonar cualquier Swarm existente del que pueda formar parte y agregarlo a un nuevo Swarm bajo el control del atacante.<\/p>\n “Esto permite al actor de amenazas expandir su control sobre m\u00faltiples instancias de Docker de manera coordinada, convirtiendo efectivamente los sistemas comprometidos en una botnet para una mayor explotaci\u00f3n”, dijeron los investigadores.<\/p>\n Actualmente no est\u00e1 claro qui\u00e9n est\u00e1 detr\u00e1s de la campa\u00f1a de ataque, aunque las t\u00e1cticas, t\u00e9cnicas y procedimientos mostrados se superponen con los de un conocido grupo de amenazas conocido como TeamTNT.<\/p>\n “Esta campa\u00f1a demuestra que servicios como Docker y Kubernetes siguen siendo fruct\u00edferos para los actores de amenazas que realizan criptojacking a escala”, dijo Datadog.<\/p>\n “La campa\u00f1a se basa en que los puntos finales de la API de Docker est\u00e9n expuestos a Internet sin autenticaci\u00f3n. La capacidad del malware para propagarse r\u00e1pidamente significa que incluso si las posibilidades de acceso inicial son relativamente escasas, las recompensas son lo suficientemente altas como para mantener a los grupos de malware centrados en la nube lo suficientemente motivados para “Continuar realizando estos ataques”.<\/p>\n El desarrollo se produce cuando Elastic Security Labs arroja luz sobre una sofisticada campa\u00f1a de malware para Linux dirigida a servidores Apache vulnerables para establecer persistencia a trav\u00e9s de GSocket e implementar familias de malware como Kaiji y RUDEDEVIL (tambi\u00e9n conocido como Lucifer) que facilitan la denegaci\u00f3n de servicio distribuido (DDoS) y las criptomonedas. miner\u00eda, respectivamente.<\/p>\n “La campa\u00f1a REF6138 involucr\u00f3 criptominer\u00eda, ataques DDoS y posible lavado de dinero a trav\u00e9s de API de juegos de azar, destacando el uso por parte de los atacantes de malware en evoluci\u00f3n y canales de comunicaci\u00f3n sigilosos”, investigadores Remco Sprooten y Ruben Groenewoud dicho<\/a>.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/10\/Nuevo-ataque-de-criptojacking-apunta-a-la-API-de-Docker.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n\n
<\/a><\/center><\/section>\n