Les points de terminaison de l’API Docker expos\u00e9s sur Internet sont attaqu\u00e9s par une campagne sophistiqu\u00e9e de cryptojacking appel\u00e9e Chat Commando<\/strong>.<\/p>\n “La campagne d\u00e9ploie un conteneur inoffensif g\u00e9n\u00e9r\u00e9 \u00e0 l’aide du Projet Commando<\/a>“, Nate Bill et Matt Muir, chercheurs en s\u00e9curit\u00e9 chez Cado dit<\/a> dans un nouveau rapport publi\u00e9 aujourd’hui. “L’attaquant \u00e9chappe \u00e0 ce conteneur<\/a> et ex\u00e9cute plusieurs charges utiles sur l’h\u00f4te Docker.”<\/p>\n On pense que la campagne est active depuis le d\u00e9but de 2024, ce qui en fait la deuxi\u00e8me campagne de ce type d\u00e9couverte en autant de mois. \u00c0 la mi-janvier, la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 cloud a \u00e9galement mis en lumi\u00e8re un autre cluster d’activit\u00e9s qui cible les h\u00f4tes Docker vuln\u00e9rables pour d\u00e9ployer le mineur de crypto-monnaie XMRig ainsi que le logiciel 9Hits Viewer.<\/p>\n Commando Cat utilise Docker comme vecteur d’acc\u00e8s initial pour fournir une collection de charges utiles interd\u00e9pendantes \u00e0 partir d’un serveur contr\u00f4l\u00e9 par un acteur responsable de l’enregistrement de la persistance, de la porte d\u00e9rob\u00e9e de l’h\u00f4te, de l’exfiltration des informations d’identification du fournisseur de services cloud (CSP) et du lancement du mineur.<\/p>\n L’avantage obtenu en violant les instances Docker sensibles est ensuite exploit\u00e9 pour d\u00e9ployer un conteneur inoffensif \u00e0 l’aide de l’outil open source Commando et ex\u00e9cuter une commande malveillante qui lui permet de s’\u00e9chapper des limites du conteneur via la commande chroot.<\/p>\n Il ex\u00e9cute \u00e9galement une s\u00e9rie de v\u00e9rifications pour d\u00e9terminer si les services nomm\u00e9s \u00ab sys-kernel-debugger \u00bb, \u00ab gsc \u00bb, \u00ab c3pool_miner \u00bb et \u00ab dockercache \u00bb sont actifs sur le syst\u00e8me compromis, et passe \u00e0 l’\u00e9tape suivante uniquement si cette \u00e9tape r\u00e9ussit. .<\/p>\n “Le but de la v\u00e9rification de sys-kernel-debugger n’est pas clair : ce service n’est utilis\u00e9 nulle part dans le malware et ne fait pas non plus partie de Linux”, ont d\u00e9clar\u00e9 les chercheurs. “Il est possible que le service fasse partie d’une autre campagne avec laquelle l’attaquant ne veut pas rivaliser.”<\/p>\n La phase suivante implique la suppression de charges utiles suppl\u00e9mentaires du serveur de commande et de contr\u00f4le (C2), y compris une porte d\u00e9rob\u00e9e de script shell (user.sh) capable d’ajouter une cl\u00e9 SSH au serveur de commande et de contr\u00f4le. Fichier ~\/.ssh\/authorized_keys<\/a> et cr\u00e9er un utilisateur malveillant nomm\u00e9 \u00ab\u00a0jeux\u00a0\u00bb avec un mot de passe connu de l’attaquant et l’inclure dans le Fichier \/etc\/sudoers<\/a>.<\/p>\n Trois autres scripts shell \u2013 tshd.sh, gsc.sh, aws.sh \u2013 sont \u00e9galement fournis de la m\u00eame mani\u00e8re, con\u00e7us pour supprimer Tiny SHell et une version improvis\u00e9e de chat net<\/a> appel\u00e9 gs-netcat et exfiltrer les informations d’identification<\/p>\n Les acteurs de la menace \u00ab ex\u00e9cutent une commande sur le conteneur cmd.cat\/chattr qui r\u00e9cup\u00e8re la charge utile de leur propre infrastructure C2 \u00bb, a d\u00e9clar\u00e9 Muir \u00e0 The Hacker News, notant que cela est r\u00e9alis\u00e9 en utilisant curl ou wget et en acheminant la charge utile r\u00e9sultante directement dans le bash. shell de commande.<\/p>\n “Au lieu d’utiliser \/tmp, [gsc.sh] utilise \u00e9galement \/dev\/shm<\/a> “Il s’agit plut\u00f4t d’un stockage de fichiers temporaire, mais d’une m\u00e9moire sauvegard\u00e9e”, ont d\u00e9clar\u00e9 les chercheurs. “Il est possible qu’il s’agisse d’un m\u00e9canisme d’\u00e9vasion, car il est beaucoup plus courant que les logiciels malveillants utilisent \/tmp.”<\/p>\n “Cela a \u00e9galement pour cons\u00e9quence que les artefacts ne touchent pas le disque, ce qui rend les analyses judiciaires un peu plus difficiles. Cette technique a d\u00e9j\u00e0 \u00e9t\u00e9 utilis\u00e9e dans BPFdoor \u2013 une technique tr\u00e8s m\u00e9diatis\u00e9e. Campagne Linux<\/a>“.<\/p>\n L’attaque aboutit au d\u00e9ploiement d’une autre charge utile qui est livr\u00e9e directement sous forme de script cod\u00e9 en Base64 au lieu d’\u00eatre r\u00e9cup\u00e9r\u00e9e \u00e0 partir du serveur C2, qui, \u00e0 son tour, supprime le mineur de crypto-monnaie XMRig, mais pas avant d’avoir \u00e9limin\u00e9 les processus mineurs concurrents de la machine infect\u00e9e.<\/p>\n Les origines exactes de l’acteur mena\u00e7ant derri\u00e8re Commando Cat ne sont pas claires pour le moment, bien que les scripts shell et l’adresse IP C2 se chevauchent avec ceux li\u00e9s \u00e0 des groupes de cryptojacking comme TeamTNT dans le pass\u00e9, ce qui soul\u00e8ve la possibilit\u00e9 qu’il s’agisse d’un groupe copieur. .<\/p>\n “Le malware fonctionne \u00e0 la fois comme un voleur d’informations d’identification, une porte d\u00e9rob\u00e9e hautement furtive et un mineur de cryptomonnaie”, ont d\u00e9clar\u00e9 les chercheurs. “Cela le rend polyvalent et capable d’extraire autant de valeur que possible des machines infect\u00e9es.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/Les-API-Docker-exposees-sont-attaquees-lors-de-la-campagne.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n