Les chercheurs en cybers\u00e9curit\u00e9 ont mis en garde contre une campagne de cryptojacking en cours ciblant les clusters Kubernetes mal configur\u00e9s pour exploiter la crypto-monnaie Dero.<\/p>\n
La soci\u00e9t\u00e9 de s\u00e9curit\u00e9 cloud Wiz, qui a fait la lumi\u00e8re sur cette activit\u00e9, a d\u00e9clar\u00e9 qu’il s’agissait d’une variante mise \u00e0 jour d’une op\u00e9ration \u00e0 motivation financi\u00e8re qui a \u00e9t\u00e9 document\u00e9e pour la premi\u00e8re fois par CrowdStrike en mars 2023.<\/p>\n
“Dans cet incident, l’auteur de la menace a abus\u00e9 de l’acc\u00e8s anonyme \u00e0 un cluster connect\u00e9 \u00e0 Internet pour lancer des images de conteneurs malveillants h\u00e9berg\u00e9s sur Docker Hub, dont certains ont plus de 10 000 extractions”, ont d\u00e9clar\u00e9 les chercheurs de Wiz Avigayil Mechtinger, Shay Berkovich et Gili Tikochinski. dit<\/a>. “Ces images Docker contiennent un mineur DERO pack\u00e9 UPX nomm\u00e9 ‘pause’.”<\/p>\n L’acc\u00e8s initial est r\u00e9alis\u00e9 en ciblant les serveurs API Kubernetes accessibles en externe avec une authentification anonyme activ\u00e9e pour fournir les charges utiles du mineur.<\/p>\n Contrairement \u00e0 la version 2023 qui d\u00e9ployait un DaemonSet Kubernetes nomm\u00e9 \u00ab proxy-api \u00bb, la derni\u00e8re version utilise des DaemonSets apparemment inoffensifs appel\u00e9s \u00ab k8s-device-plugin \u00bb et \u00ab pytorch-container \u00bb pour finalement ex\u00e9cuter le mineur sur tous les n\u0153uds du cluster. .<\/p>\n De plus, l’id\u00e9e derri\u00e8re le nom du conteneur \u00ab\u00a0pause\u00a0\u00bb est une tentative de se faire passer pour le conteneur “pause” r\u00e9el<\/a> qui est utilis\u00e9 pour amorcer un pod et appliquer l’isolation du r\u00e9seau.<\/p>\n Le mineur de crypto-monnaie est un binaire open source \u00e9crit en Go qui a \u00e9t\u00e9 modifi\u00e9 pour coder en dur l’adresse du portefeuille et les URL personnalis\u00e9es du pool de minage Dero. Il est \u00e9galement obscurci \u00e0 l’aide de l’open source Emballeur UPX<\/a> r\u00e9sister \u00e0 l\u2019analyse.<\/p>\n L’id\u00e9e principale est qu’en int\u00e9grant la configuration de minage dans le code, il est possible d’ex\u00e9cuter le mineur sans aucun argument de ligne de commande qui est g\u00e9n\u00e9ralement surveill\u00e9 par des m\u00e9canismes de s\u00e9curit\u00e9.<\/p>\n Wiz a d\u00e9clar\u00e9 avoir identifi\u00e9 des outils suppl\u00e9mentaires d\u00e9velopp\u00e9s par l’acteur malveillant, notamment un \u00e9chantillon Windows d’un mineur Dero contenant UPX ainsi qu’un script shell dropper con\u00e7u pour mettre fin aux processus mineurs concurrents sur un h\u00f4te infect\u00e9 et supprimer GMineur<\/a> depuis GitHub.<\/p>\n “[The attacker] “Des domaines enregistr\u00e9s avec des noms d’apparence innocente pour \u00e9viter d’\u00e9veiller des soup\u00e7ons et pour mieux se fondre dans le trafic Web l\u00e9gitime, tout en masquant la communication avec des pools miniers par ailleurs bien connus”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n “Ces tactiques combin\u00e9es d\u00e9montrent les efforts continus de l’attaquant pour adapter ses m\u00e9thodes et garder une longueur d’avance sur les d\u00e9fenseurs.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/Une-campagne-de-cryptojacking-cible-les-clusters-Kubernetes-mal-configures.png\")
<\/a><\/center><\/div>\n