Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9couvert une nouvelle campagne de logiciels malveillants qui cible les points de terminaison de l’API Docket expos\u00e9s publiquement dans le but de fournir des mineurs de crypto-monnaie et d’autres charges utiles.<\/p>\n
Parmi les outils d\u00e9ploy\u00e9s figurent un outil d’acc\u00e8s \u00e0 distance capable de t\u00e9l\u00e9charger et d’ex\u00e9cuter davantage de programmes malveillants, ainsi qu’un utilitaire permettant de propager le malware via SSH, la plateforme d’analyse cloud Datadog. dit<\/a> dans un rapport publi\u00e9 la semaine derni\u00e8re.<\/p>\n L’analyse de la campagne a r\u00e9v\u00e9l\u00e9 des chevauchements tactiques avec une activit\u00e9 pr\u00e9c\u00e9dente baptis\u00e9e Spinning YARN, qui ciblait les services Apache Hadoop YARN, Docker, Atlassian Confluence et Redis mal configur\u00e9s \u00e0 des fins de cryptojacking.<\/p>\n L’attaque commence lorsque les acteurs malveillants se concentrent sur les serveurs Docker dot\u00e9s de ports expos\u00e9s (num\u00e9ro de port 2375) pour lancer une s\u00e9rie d’\u00e9tapes, en commen\u00e7ant par la reconnaissance et l’\u00e9l\u00e9vation des privil\u00e8ges avant de passer \u00e0 la phase d’exploitation.<\/p>\n Les charges utiles sont r\u00e9cup\u00e9r\u00e9es de l’infrastructure contr\u00f4l\u00e9e par l’adversaire en ex\u00e9cutant un script shell nomm\u00e9 \u00ab vurl \u00bb. Cela inclut un autre script shell appel\u00e9 “b.sh” qui, \u00e0 son tour, contient un binaire cod\u00e9 en Base64 nomm\u00e9 “vurl” et est \u00e9galement responsable de la r\u00e9cup\u00e9ration et du lancement d’un troisi\u00e8me script shell appel\u00e9 “ar.sh” (ou “ai. ch”).<\/p>\n “Le [‘b.sh’] “Le script d\u00e9code et extrait ce binaire dans \/usr\/bin\/vurl, \u00e9crasant la version du script shell existante”, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Matt Muir. “Ce binaire diff\u00e8re de la version du script shell par son utilisation de codes cod\u00e9s en dur. [command-and-control] domaines.”<\/p>\n Le script shell, “ar.sh”, effectue un certain nombre d’actions, notamment la configuration d’un r\u00e9pertoire de travail, l’installation d’outils pour analyser Internet \u00e0 la recherche d’h\u00f4tes vuln\u00e9rables, la d\u00e9sactivation du pare-feu et, finalement, la r\u00e9cup\u00e9ration de la charge utile de l’\u00e9tape suivante, appel\u00e9e “chkstart”. “.<\/p>\n Binaire Golang comme vurl, son objectif principal est de configurer l’h\u00f4te pour un acc\u00e8s \u00e0 distance et de r\u00e9cup\u00e9rer des outils suppl\u00e9mentaires, notamment “m.tar” et “top”, \u00e0 partir d’un serveur distant, ce dernier \u00e9tant un mineur XMRig.<\/p>\n “Dans la campagne originale Spinning YARN, une grande partie des fonctionnalit\u00e9s de chkstart \u00e9tait g\u00e9r\u00e9e par des scripts shell”, a expliqu\u00e9 Muir. “Le portage de cette fonctionnalit\u00e9 vers le code Go pourrait sugg\u00e9rer que l’attaquant tente de compliquer le processus d’analyse, car l’analyse statique du code compil\u00e9 est nettement plus difficile que les scripts shell.”<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/Un-nouveau-logiciel-malveillant-cible-les-API-Docker-exposees-pour.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n