L’acteur mena\u00e7ant connu sous le nom de Chat Commando<\/strong> a \u00e9t\u00e9 li\u00e9 \u00e0 une campagne d’attaque de cryptojacking en cours qui exploite des instances Docker mal s\u00e9curis\u00e9es pour d\u00e9ployer des mineurs de cryptomonnaie \u00e0 des fins financi\u00e8res.<\/p>\n “Les attaquants ont utilis\u00e9 le conteneur d’images Docker cmd.cat\/chattr qui r\u00e9cup\u00e8re la charge utile de leur propre infrastructure de commande et de contr\u00f4le (C&C),” Sunil Bharti et Shubham Singh, chercheurs de Trend Micro. dit<\/a> dans une analyse de jeudi.<\/p>\n Commando Cat, ainsi nomm\u00e9 pour son utilisation du projet open source Commando pour g\u00e9n\u00e9rer un conteneur inoffensif, a \u00e9t\u00e9 document\u00e9 pour la premi\u00e8re fois plus t\u00f4t cette ann\u00e9e par Cado Security.<\/p>\n Les attaques se caract\u00e9risent par le ciblage de serveurs API distants Docker mal configur\u00e9s pour d\u00e9ployer une image Docker nomm\u00e9e cmd.cat\/chattr, qui est ensuite utilis\u00e9e comme base pour instancier un conteneur et sortir de ses limites \u00e0 l’aide de la commande chroot, et obtenir l’acc\u00e8s. au syst\u00e8me d\u2019exploitation h\u00f4te.<\/p>\n La derni\u00e8re \u00e9tape consiste \u00e0 r\u00e9cup\u00e9rer le binaire du mineur malveillant \u00e0 l’aide d’une commande curl ou wget depuis un serveur C&C (“leetdbs.anondns[.]net\/z”) au moyen d’un script shell. Le binaire est soup\u00e7onn\u00e9 d’\u00eatre ZiggyStarTux, un robot IRC open source bas\u00e9 sur le malware Kaiten (alias Tsunami).<\/p>\n “L’importance de cette campagne d’attaque r\u00e9side dans l’utilisation d’images Docker pour d\u00e9ployer des scripts de cryptojacking sur des syst\u00e8mes compromis”, ont expliqu\u00e9 les chercheurs. “Cette tactique permet aux attaquants d’exploiter les vuln\u00e9rabilit\u00e9s des configurations Docker tout en \u00e9chappant \u00e0 la d\u00e9tection par les logiciels de s\u00e9curit\u00e9.”<\/p>\n Cette divulgation intervient alors qu’Akamai a r\u00e9v\u00e9l\u00e9 que des failles de s\u00e9curit\u00e9 vieilles de plusieurs ann\u00e9es dans les applications ThinkPHP (par exemple, CVE-2018-20062<\/a> et CVE-2019-9082<\/a>) sont exploit\u00e9s par un acteur mena\u00e7ant pr\u00e9sum\u00e9 parlant chinois pour diffuser un shell Web baptis\u00e9 Dama dans le cadre d’une campagne en cours depuis le 17 octobre 2023.<\/p>\n “L’exploit tente de r\u00e9cup\u00e9rer du code obscurci suppl\u00e9mentaire \u00e0 partir d’un autre serveur ThinkPHP compromis pour prendre pied initialement”, ont d\u00e9clar\u00e9 les chercheurs d’Akamai, Ron Mankivsky et Maxim Zavodchik. dit<\/a>. “Apr\u00e8s avoir exploit\u00e9 le syst\u00e8me avec succ\u00e8s, les attaquants installeront un shell Web en chinois nomm\u00e9 Dama pour maintenir un acc\u00e8s persistant au serveur.”<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/Les-attaques-de-cryptojacking-Commando-Cat-ciblent-les-instances-Docker.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/div>\n