Les instances de l’API Docker Engine accessibles au public sont cibl\u00e9es par des acteurs malveillants dans le cadre d’une campagne con\u00e7ue pour coopter les machines dans un botnet par d\u00e9ni de service distribu\u00e9 (DDoS) baptis\u00e9 OracleIV<\/strong>.<\/p>\n “Les attaquants exploitent cette mauvaise configuration pour livrer un conteneur Docker malveillant, construit \u00e0 partir d’une image nomm\u00e9e ‘oracleiv_latest’ et contenant un malware Python compil\u00e9 en tant qu’ex\u00e9cutable ELF”, ont d\u00e9clar\u00e9 Nate Bill et Matt Muir, chercheurs de Cado. dit<\/a>.<\/p>\n L’activit\u00e9 malveillante commence lorsque les attaquants utilisent une requ\u00eate HTTP POST \u00e0 \u200b\u200bl’API de Docker pour r\u00e9cup\u00e9rer une image malveillante de Docker Hub, qui, \u00e0 son tour, ex\u00e9cute une commande pour r\u00e9cup\u00e9rer un script shell (oracle.sh) \u00e0 partir d’un syst\u00e8me de commande et de contr\u00f4le (C&C ) serveur.<\/p>\n Oracleiv_latest<\/a> pr\u00e9tend \u00eatre une image MySQL pour Docker et a \u00e9t\u00e9 extraite 3 500 fois \u00e0 ce jour. Dans une tournure peut-\u00eatre pas si surprenante, l’image comprend \u00e9galement des instructions suppl\u00e9mentaires pour r\u00e9cup\u00e9rer un mineur XMRig et sa configuration \u00e0 partir du m\u00eame serveur.<\/p>\n Cela dit, la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 cloud a d\u00e9clar\u00e9 qu\u2019elle n\u2019avait observ\u00e9 aucune preuve d\u2019extraction de cryptomonnaie effectu\u00e9e par le conteneur contrefait. Le script shell, en revanche, est concis et int\u00e8gre des fonctions permettant de mener des attaques DDoS telles que slowloris<\/a>, Inondations SYN<\/a>et Inondations UDP<\/a>.<\/p>\n Les instances Docker expos\u00e9es sont devenues une cible d\u2019attaque lucrative ces derni\u00e8res ann\u00e9es, souvent utilis\u00e9es comme canal pour des campagnes de cryptojacking.<\/p>\n “Une fois qu’un point final valide est d\u00e9couvert, il est trivial d’extraire une image malveillante et de lancer un conteneur \u00e0 partir de celle-ci pour atteindre n’importe quel objectif imaginable”, ont d\u00e9clar\u00e9 les chercheurs. “L’h\u00e9bergement du conteneur malveillant dans Docker Hub, la biblioth\u00e8que d’images de conteneurs de Docker, rationalise encore davantage ce processus.”<\/p>\n Il ne s’agit pas seulement de Docker, car les serveurs MySQL vuln\u00e9rables sont devenus la cible d’un autre malware botnet DDoS connu sous le nom de Ddostf, selon l’AhnLab Security Emergency Response Center (ASEC).<\/p>\n “Bien que la plupart des commandes prises en charge par Ddostf soient similaires \u00e0 celles des robots DDoS classiques, une caract\u00e9ristique distinctive de Ddostf est sa capacit\u00e9 \u00e0 se connecter \u00e0 une adresse nouvellement re\u00e7ue du serveur C&C et \u00e0 y ex\u00e9cuter des commandes pendant une certaine p\u00e9riode”, ASEC dit<\/a>.<\/p>\n “Seules les commandes DDoS peuvent \u00eatre ex\u00e9cut\u00e9es sur le nouveau serveur C&C. Cela implique que l’acteur malveillant Ddostf peut infecter de nombreux syst\u00e8mes et ensuite vendre des attaques DDoS en tant que service.”<\/p>\n Ce qui aggrave encore les choses est l’\u00e9mergence de plusieurs nouveaux botnets DDoS, tels que hailBot, kiraiBot et catDDoS, bas\u00e9s sur Mirai<\/a>dont le code source a \u00e9t\u00e9 divulgu\u00e9 en 2016.<\/p>\n “Ces chevaux de Troie nouvellement d\u00e9velopp\u00e9s introduisent de nouveaux algorithmes de cryptage pour masquer les informations critiques ou mieux se cachent en modifiant le processus de mise en service et en concevant des m\u00e9thodes de communication plus secr\u00e8tes”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 NSFOCUS. r\u00e9v\u00e9l\u00e9<\/a> le mois dernier.<\/p>\n Un autre malware DDoS qui a refait surface cette ann\u00e9e est XorDdos, qui infecte les appareils Linux et les \u00ab transforme en zombies \u00bb pour des attaques DDoS ult\u00e9rieures contre des cibles d’int\u00e9r\u00eat.<\/p>\n L’unit\u00e9 42 de Palo Alto Networks a d\u00e9clar\u00e9 que la campagne avait d\u00e9but\u00e9 fin juillet 2023, avant de culminer vers le 12 ao\u00fbt 2023.<\/p>\n “Avant que les logiciels malveillants ne r\u00e9ussissent \u00e0 infiltrer un appareil, les attaquants ont lanc\u00e9 un processus d’analyse, en utilisant des requ\u00eates HTTP pour identifier les vuln\u00e9rabilit\u00e9s potentielles de leurs cibles”, explique la soci\u00e9t\u00e9. not\u00e9<\/a>. “Pour \u00e9chapper \u00e0 la d\u00e9tection, la menace transforme son processus en un service d’arri\u00e8re-plan qui s’ex\u00e9cute ind\u00e9pendamment de la session utilisateur en cours.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/11\/Alerte-le-botnet-DDoS-OracleIV-cible-les-API-du-moteur.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n