.jpeg)
В тревожном развитии для кибербезопасности была обнаружена новая кампания, связанная с криптовалютным майнером Dero, которая проникает в контейнеризованные Linux-среды. Этот вредоносный софт использует небезопасно опубликованные API Docker, что позволяет ему быстро распространяться и компрометировать несколько систем без необходимости в сервере командного управления.
Ключевые моменты
-
Майнер Dero распространяется через небезопасные API Docker.
-
Вредоносное ПО создает новые контейнеры и компрометирует существующие.
-
Оно работает без сервера командного управления, что делает его обнаружение сложным.
-
Организациям необходимо защитить свои API Docker, чтобы предотвратить инфекции.
Цепочка заражения
Кампания по майнингу Dero работает как зомби-эпидемия, когда один зараженный контейнер сканирует интернет на наличие открытых API Docker. Как только он находит уязвимую цель, он создает новые вредоносные контейнеры и компрометирует существующие, чтобы майнить криптовалюту Dero. Этот автоматизированный процесс осуществляется с помощью двух основных компонентов вредоносного ПО: вредоносного ПО для распространения под названием "nginx" и самого майнера Dero.
Как работает вредоносное ПО
-
Первичный доступ: Угроза получает доступ к работающей контейнеризованной инфраструктуре, используя небезопасный API Docker.
-
Развертывание вредоносного ПО: Вредоносное ПО nginx поддерживает постоянство и распространяется на другие системы без необходимости в сервере командного управления.
-
Создание контейнеров: Вредоносное ПО генерирует случайные подсети IPv4 для сканирования на наличие небезопасных API Docker, создавая новые вредоносные контейнеры на скомпрометированных хостах.
-
Присвоение ресурсов: Майнер Dero выполняется внутри этих контейнеров, присваивая их ресурсы для майнинга криптовалюты.
Роль вредоносного ПО Nginx
Вредоносное ПО nginx предназначено для маскировки под легитимное программное обеспечение веб-сервера nginx, что затрудняет его обнаружение пользователями и средствами безопасности. Его основные функции включают:
-
Ведение журнала активности: Оно создает файл журнала для отслеживания зараженных машин и активности.
-
Контроль версий: Оно обеспечивает наличие файла с определенной версией для идентификации уже зараженных контейнеров.
-
Сканирование на уязвимости: Оно сканирует на наличие других уязвимых API Docker для дальнейшего распространения инфекции.
Файл с исходным кодом nginx
Компрометация существующих контейнеров
Вредоносное ПО не только создает новые контейнеры, но и нацеливается на существующие. Оно проверяет работающие контейнеры на основе определенных критериев (например, базовый образ Ubuntu 18.04) и заражает их, если у них отсутствует файл версии, тем самым повторяя цикл заражения.
Майнер Dero
Майнер Dero, упоминаемый как "cloud" в вредоносном ПО, является модифицированной версией открытого майнера DeroHE CLI. Он предназначен для майнинга криптовалюты Dero с использованием жестко закодированных адресов кошельков и узлов. Шифрование этих адресов указывает на уровень сложности в дизайне вредоносного ПО, стремящегося избежать обнаружения и поддерживать операционную безопасность.
Последствия
Рост майнера Dero в контейнеризованных средах подчеркивает значительные риски безопасности. С более чем 520 опубликованными API Docker, доступными в интернете, организациям необходимо предпринять проактивные меры для защиты своей инфраструктуры. Ключевые рекомендации включают:
-
Защита API Docker: Убедитесь, что API Docker не доступны публично или защищены надлежащей аутентификацией.
-
Мониторинг активности контейнеров: Используйте инструменты мониторинга для обнаружения необычной активности в контейнеризованных средах.
-
Регулярные оценки безопасности: Проводите регулярные оценки для выявления и устранения уязвимостей в конфигурациях контейнеров.
Заключение
Способность майнера Dero быстро распространяться по контейнеризованным средам представляет собой серьезную угрозу для организаций. Понимая механизмы заражения и внедряя надежные меры безопасности, компании могут защитить себя от этой и подобных угроз в будущем.
Источники
Эта статья была создана с поддержкой технологий, основанных на искусственном интеллекте, с использованием множества авторитетных источников. Финальный контент был тщательно проверен и отредактирован редакционной командой BlockzHub для обеспечения точности, ясности и согласованности. Оригинальные источники информации указаны, когда это необходимо и уместно. Мнения, выраженные в этой статье, не обязательно отражают официальные взгляды или позиции BlockzHub. Эта статья предназначена исключительно для информационных целей и не должна восприниматься как финансовый или профессиональный совет. Инвестирование связано с рисками, и перед принятием инвестиционных решений следует проконсультироваться с квалифицированным финансовым консультантом.