Une nouvelle campagne de cryptojacking a \u00e9t\u00e9 d\u00e9couverte ciblant les infrastructures Docker et Kubernetes vuln\u00e9rables dans le cadre d’attaques opportunistes con\u00e7ues pour exploiter illicitement la crypto-monnaie.<\/p>\n
La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 CrowdStrike a surnomm\u00e9 l’activit\u00e9 Embrasser un chien<\/strong>avec son infrastructure de commandement et de contr\u00f4le qui chevauche celles associ\u00e9es \u00e0 d’autres groupes comme TeamTNT, qui sont connus pour frapper mal configur\u00e9<\/a> Instances Docker et Kubernetes.<\/p>\n Les intrusions, rep\u00e9r\u00e9es en septembre 2022, tirent leur nom d’un domaine nomm\u00e9 “kiss.a-dog[.]top” qui est utilis\u00e9 pour d\u00e9clencher une charge utile de script shell sur le conteneur compromis \u00e0 l’aide d’une commande Python encod\u00e9e en Base64.<\/p>\n “L’URL utilis\u00e9e dans la charge utile est masqu\u00e9e par des barres obliques inverses pour vaincre le d\u00e9codage automatis\u00e9 et la correspondance des expressions r\u00e9guli\u00e8res pour r\u00e9cup\u00e9rer le domaine malveillant”, a d\u00e9clar\u00e9 Manoj Ahuje, chercheur chez CrowdStrike. a dit<\/a> dans une analyse technique.<\/p>\n La cha\u00eene d’attaque tente ensuite de s’\u00e9chapper du conteneur et de se d\u00e9placer lat\u00e9ralement dans le r\u00e9seau pirat\u00e9, tout en prenant simultan\u00e9ment des mesures pour mettre fin et supprimer les services de surveillance du cloud.<\/p>\n Comme m\u00e9thodes suppl\u00e9mentaires pour \u00e9chapper \u00e0 la d\u00e9tection, la campagne utilise le Diamorphine<\/a> et libprocesshide<\/a> rootkits pour cacher les processus malveillants \u00e0 l’utilisateur, ce dernier \u00e9tant compil\u00e9 en tant que biblioth\u00e8que partag\u00e9e et son chemin<\/a> est d\u00e9fini comme la valeur de la LD_PRELOAD<\/a> variables d’environnement.<\/p>\n “Cela permet aux attaquants d’injecter des biblioth\u00e8ques partag\u00e9es malveillantes dans chaque processus g\u00e9n\u00e9r\u00e9 sur un conteneur compromis”, a d\u00e9clar\u00e9 Ahuje.<\/p>\n L’objectif ultime de la campagne est d’exploiter furtivement la crypto-monnaie \u00e0 l’aide du logiciel d’exploitation mini\u00e8re XMRig ainsi que de d\u00e9jouer les instances Redis et Docker pour l’exploitation mini\u00e8re et d’autres attaques de suivi.<\/p>\n “Alors que les prix des crypto-monnaies ont chut\u00e9, ces campagnes ont \u00e9t\u00e9 \u00e9touff\u00e9es au cours des deux derniers mois jusqu’\u00e0 ce que plusieurs campagnes soient lanc\u00e9es en octobre pour profiter d’un environnement peu concurrentiel”, a not\u00e9 Ahuje.<\/p>\n Les d\u00e9couvertes surviennent \u00e9galement alors que les chercheurs de Sysdig ont d\u00e9voil\u00e9 une autre op\u00e9ration sophistiqu\u00e9e de crypto-minage appel\u00e9e PURPLEURCHIN, qui exploite le calcul allou\u00e9 aux comptes d’essai gratuits sur GitHub, Heroku et Buddy.[.]Travaille \u00e0 l’\u00e9chelle des attaques.<\/p>\n Pas moins de 30 comptes GitHub, 2 000 comptes Heroku et 900 comptes Buddy auraient \u00e9t\u00e9 utilis\u00e9s dans la campagne de freejacking automatis\u00e9e.<\/p>\n L’attaque implique la cr\u00e9ation d’un compte GitHub contr\u00f4l\u00e9 par un acteur, chacun contenant un r\u00e9f\u00e9rentiel qui, \u00e0 son tour, a une action GitHub pour ex\u00e9cuter des op\u00e9rations de minage en lan\u00e7ant une image Docker Hub.<\/p>\n “L’utilisation de comptes gratuits transf\u00e8re le co\u00fbt de fonctionnement des cryptomineurs au fournisseur de services”, ont d\u00e9clar\u00e9 les chercheurs. a dit<\/a>. “Cependant, comme dans de nombreux cas d’utilisation frauduleuse, l’abus de comptes gratuits peut en affecter d’autres. Des d\u00e9penses plus \u00e9lev\u00e9es pour le fournisseur entra\u00eeneront des prix plus \u00e9lev\u00e9s pour ses clients l\u00e9gitimes.”<\/p>\n <\/p>\n<\/div>\n![\"Cryptojacking\"](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEhmi5rQWlcjd7WO_WAapuE6nnf9axamV6Csa4g8C_E17qInP7dBrfylqu7n56h2Ah2rLtNNo31lijFzQTkUB5MLR__j7ERa5uz_Ofbz1PlXyB4xMeM9PVYzo4ELNADA8xw0-l2w5_w69yvM7B9n_uvNLlskkEc7ToU5D0cO20Bdq1VxM6GC3BjO1-m4ng\/s728-e1000\/malware-code.jpg\" "\\"Cryptojacking\\"")
<\/div>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEglTybVbyQ3y6xCIxW9BIpqhgWBf_IhNgCo44HrgwUeYVi_GwvasznH93LLdkqJLwdp4DUkFkILg6m3WDgkue7MFxmbzFxmTBe7-pukEjyvUZ3j9yGyBcL2yUAZVFSQkjSric7YYfU8WgwHwYsS2-3wZ1zLQDAqgkoEpk5kZsbUuyh0UlV8nq7PplYEgQ\/s1600\/banners-crowdsec-728.png\")
<\/a><\/div>\n