Se han observado malos actores apuntando a Docker servidores API remotos<\/a> implementar el cripto minero SRBMiner en instancias comprometidas, seg\u00fan nuevos hallazgos de Trend Micro.<\/p>\n “En este ataque, el actor de amenazas utiliz\u00f3 el gRPC<\/a> protocolo terminado h2c<\/a> para evadir las soluciones de seguridad y ejecutar sus operaciones de criptominer\u00eda en el host Docker”, investigadores Abdelrahman Esmail y Sunil Bharti dicho<\/a> en un informe t\u00e9cnico publicado hoy.<\/p>\n “El atacante primero verific\u00f3 la disponibilidad y la versi\u00f3n de la API de Docker, luego contin\u00faa con las solicitudes de actualizaciones de gRPC\/h2c y m\u00e9todos de gRPC para manipular las funcionalidades de Docker”.<\/p>\n Todo comienza cuando el atacante realiza un proceso de descubrimiento para verificar los hosts de la API Docker de cara al p\u00fablico y la disponibilidad de actualizaciones del protocolo HTTP\/2 para continuar con una solicitud de actualizaci\u00f3n de conexi\u00f3n al protocolo h2c (es decir, HTTP\/2 sin TLS). cifrado).<\/p>\n El adversario tambi\u00e9n procede a buscar m\u00e9todos gRPC que est\u00e9n dise\u00f1ados para llevar a cabo diversas tareas relacionadas con la gesti\u00f3n y operaci\u00f3n de entornos Docker, incluidas aquellas relacionadas con comprobaciones de estado, sincronizaci\u00f3n de archivos, autenticaci\u00f3n, gesti\u00f3n de secretos y reenv\u00edo SSH.<\/p>\n Una vez que el servidor procesa la solicitud de actualizaci\u00f3n de la conexi\u00f3n, se env\u00eda una solicitud gRPC “\/moby.buildkit.v1.Control\/Solve” a crear un contenedor<\/a> y luego usarlo para extraer la criptomoneda XRP usando la carga \u00fatil SRBMiner alojado en GitHub<\/a>.<\/p>\n “El actor malicioso en este caso aprovech\u00f3 el protocolo gRPC sobre h2c, evitando efectivamente varias capas de seguridad para implementar el cripto minero SRBMiner en el host Docker y extraer la criptomoneda XRP de manera il\u00edcita”, dijeron los investigadores.<\/p>\n La divulgaci\u00f3n se produce cuando la empresa de ciberseguridad dijo que tambi\u00e9n observado<\/a> Los atacantes explotan los servidores API remotos de Docker expuestos para implementar el malware perfctl. La campa\u00f1a implica buscar dichos servidores, seguido de la creaci\u00f3n de un contenedor Docker con la imagen “ubuntu:mantic-20240405” y la ejecuci\u00f3n de una carga \u00fatil codificada en Base64.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/10\/Cibercriminales-explotan-los-servidores-API-de-Docker-para-ataques-de.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n