Une campagne d’attaque \u00e0 grande \u00e9chelle d\u00e9couverte dans la nature a exploit\u00e9 le contr\u00f4le d’acc\u00e8s bas\u00e9 sur les r\u00f4les Kubernetes (K8s) (RBAC<\/a>) pour cr\u00e9er des portes d\u00e9rob\u00e9es et ex\u00e9cuter des mineurs de crypto-monnaie.<\/p>\n “Les attaquants ont \u00e9galement d\u00e9ploy\u00e9 DaemonSets pour prendre le contr\u00f4le et d\u00e9tourner les ressources des clusters K8 qu’ils attaquent”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 cloud Aqua dans un communiqu\u00e9. rapport<\/a> partag\u00e9 avec The Hacker News. La soci\u00e9t\u00e9 isra\u00e9lienne, qui a surnomm\u00e9 l’attaque RBAC Buster<\/strong>a d\u00e9clar\u00e9 avoir trouv\u00e9 60 clusters K8 expos\u00e9s qui ont \u00e9t\u00e9 exploit\u00e9s par l’acteur mena\u00e7ant \u00e0 l’origine de cette campagne.<\/p>\n La cha\u00eene d’attaque a commenc\u00e9 avec l’acc\u00e8s initial de l’attaquant via un serveur API mal configur\u00e9, suivi de la recherche de preuves de logiciels malveillants mineurs concurrents sur le serveur compromis, puis de l’utilisation de RBAC pour configurer la persistance.<\/p>\n “L’attaquant a cr\u00e9\u00e9 un nouveau ClusterRole avec des privil\u00e8ges proches du niveau administrateur”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. “Ensuite, l’attaquant a cr\u00e9\u00e9 un ‘ServiceAccount’, ‘kube-controller’ dans l’espace de noms ‘kube-system’. Enfin, l’attaquant a cr\u00e9\u00e9 un ‘ClusterRoleBinding’, liant le ClusterRole au ServiceAccount pour cr\u00e9er une persistance forte et discr\u00e8te.”<\/p>\n Lors de l’intrusion observ\u00e9e contre ses pots de miel K8, l’attaquant a tent\u00e9 de militariser les cl\u00e9s d’acc\u00e8s AWS expos\u00e9es pour s’implanter dans l’environnement, voler des donn\u00e9es et \u00e9chapper aux limites du cluster.<\/p>\n La derni\u00e8re \u00e9tape de l’attaque a consist\u00e9 pour l’auteur de la menace \u00e0 cr\u00e9er un DaemonSet pour d\u00e9ployer une image de conteneur h\u00e9berg\u00e9e sur Docker (“kuberntesio\/kube-controller:1.0.1”) sur tous les n\u0153uds. Le conteneur, qui a \u00e9t\u00e9 retir\u00e9 14 399 fois depuis son t\u00e9l\u00e9chargement il y a cinq mois, abrite un mineur de crypto-monnaie.<\/p>\n Zero Trust + Deception\u00a0: apprenez \u00e0 d\u00e9jouer les attaquants\u00a0!<\/p>\n D\u00e9couvrez comment Deception peut d\u00e9tecter les menaces avanc\u00e9es, arr\u00eater les mouvements lat\u00e9raux et am\u00e9liorer votre strat\u00e9gie Zero Trust. Rejoignez notre webinaire perspicace !<\/p>\n![\"RBAC](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/04\/1682096841_479_Kubernetes-RBAC-exploite-dans-une-campagne-a-grande-echelle-pour.png\" "\\"RBAC")
<\/div>\n