Les acteurs de la menace derri\u00e8re le Kinsing<\/strong> Des op\u00e9rations de cryptojacking ont \u00e9t\u00e9 rep\u00e9r\u00e9es exploitant des serveurs PostgreSQL mal configur\u00e9s et expos\u00e9s pour obtenir un acc\u00e8s initial aux environnements Kubernetes.<\/p>\n Une deuxi\u00e8me technique de vecteur d’acc\u00e8s initial implique l’utilisation d’images vuln\u00e9rables, Sunders Bruskin, chercheur en s\u00e9curit\u00e9 chez Microsoft Defender for Cloud, m’a dit<\/a> dans un rapport la semaine derni\u00e8re.<\/p>\n Kinsing a une longue histoire de ciblage environnements conteneuris\u00e9s<\/a>exploitant souvent des ports d’API de d\u00e9mon Docker ouverts mal configur\u00e9s et abusant d’exploits r\u00e9cemment divulgu\u00e9s pour abandonner le logiciel d’extraction de crypto-monnaie.<\/p>\n L’acteur de la menace, dans le pass\u00e9, a \u00e9galement \u00e9t\u00e9 d\u00e9couvert employant un rootkit<\/a> pour masquer sa pr\u00e9sence, en plus de r\u00e9silier et de d\u00e9sinstaller les services et processus concurrents gourmands en ressources.<\/p>\n Selon Microsoft, les erreurs de configuration dans Serveurs PostgreSQL<\/a> ont \u00e9t\u00e9 coopt\u00e9s par l’acteur de Kinsing pour prendre un premier pied, l’entreprise observant une “grande quantit\u00e9 de clusters” infect\u00e9s de cette mani\u00e8re.<\/p>\n La mauvaise configuration concerne un param\u00e8tre d’authentification de confiance<\/a>qui pourrait \u00eatre utilis\u00e9 de mani\u00e8re abusive pour se connecter aux serveurs sans aucune authentification et r\u00e9aliser l’ex\u00e9cution de code si l’option \u00e9tait configur\u00e9e pour accepter les connexions \u00e0 partir de n’importe quelle adresse IP.<\/p>\n “En g\u00e9n\u00e9ral, autoriser l’acc\u00e8s \u00e0 une large gamme d’adresses IP expose le conteneur PostgreSQL \u00e0 une menace potentielle”, a expliqu\u00e9 Bruskin.<\/p>\n Le vecteur d’attaque alternatif cible les serveurs avec des versions vuln\u00e9rables de PHPUnit, Liferay, WebLogic et WordPress qui sont sensibles \u00e0 l’ex\u00e9cution de code \u00e0 distance afin d’ex\u00e9cuter des charges utiles malveillantes.<\/p>\n De plus, une r\u00e9cente “campagne g\u00e9n\u00e9ralis\u00e9e” a impliqu\u00e9 les attaquants \u00e0 la recherche d’open port WebLogic par d\u00e9faut 7001<\/a>et s’il est trouv\u00e9, ex\u00e9cuter une commande shell pour lancer le logiciel malveillant.<\/p>\n “Exposer le cluster \u00e0 Internet sans mesures de s\u00e9curit\u00e9 appropri\u00e9es peut le rendre vuln\u00e9rable aux attaques de sources externes”, a d\u00e9clar\u00e9 Bruskin. “De plus, les attaquants peuvent acc\u00e9der au cluster en tirant parti des vuln\u00e9rabilit\u00e9s connues dans les images.”<\/p>\n <\/p>\n![\"Attaques](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/1673283804_674_Kinsing-Cryptojacking-frappe-les-clusters-Kubernetes-via-PostgreSQL-mal-configure.png\" "\\"Attaques")
<\/div>\n