包含通过Docker Hub分发的包含加密劫持恶意软件的Docker映像

随着Docker作为打包和部署软件应用程序的服务而日益流行,恶意参与者正在利用机会来针对暴露的API端点并制作出受恶意软件感染的映像,以促进分布式拒绝服务(DDoS)攻击和挖掘加密货币。

根据Palo Alto Networks的Unit 42威胁情报团队发布的报告,这些Docker映像的目的是通过使用Docker容器部署加密货币矿工并利用Docker Hub存储库分发这些映像来筹集资金。

Unit 42 研究人员说: “ Docker容器为打包软件提供了一种便捷的方式,这可以通过采用率的提高来证明。”。“这与硬币挖掘技术相结合,使恶意行为者可以轻松地将其图像分发到任何支持Docker的机器,并立即开始使用其计算资源进行加密劫持。”

Docker是一个著名的Linux和Windows平台即服务(PaaS)解决方案,它使开发人员可以在包含的虚拟环境中部署,测试和打包其应用程序,从而将服务与主机系统隔离开来。他们继续前进。

现在被删除的Docker Hub帐户名为“ azurenql”,由八个存储库组成,这些存储库托管六个恶意图像,这些图像可以挖掘Monero(一种注重隐私的加密货币)。

这些图像后面的恶意软件作者使用Python脚本触发了密码劫持操作,并利用了ProxyChains和Tor等网络匿名工具来逃避网络检测。

然后,图像中的硬币挖掘代码利用了受感染系统的处理能力来挖掘区块。

自2019年10月活动开始以来,此帐户上托管的图像已被集体拉出200万次,其中一个钱包ID用来赚取超过525.38 XMR(36,000美元)。

针对DDoS恶意软件的公开Docker服务器

那不是全部。在趋势科技研究人员发现的一项新的大规模扫描操作中,未受保护的Docker服务器受到至少两种不同类型的恶意软件(XOR DDoS和Kaiji)的攻击,以收集系统信息并进行DDoS攻击。

研究人员说:“攻击者通常在扫描开放的Secure Shell(SSH)和Telnet端口后使用僵尸网络进行暴力攻击。” “现在,他们还正在搜索具有公开端口(2375)的Docker服务器。”

值得注意的是,XOR DDoS和Kaiji都是Linux特洛伊木马,以其能够进行DDoS攻击而著称,后者使用Go编程语言从头开始编写,以通过SSH蛮力攻击来瞄准IoT设备。

XOR DDoS恶意软件菌株的工作方式是:搜索具有暴露的Docker API端口的主机,然后发送命令以列出目标服务器上托管的所有容器,然后用XORDDoS恶意软件破坏它们。

同样,Kaiji恶意软件会在Internet上扫描端口2375暴露的主机,以部署执行Kaiji二进制文件的恶意ARM容器(“ linux_arm”)。

研究人员说:“当XOR DDoS攻击渗透到Docker服务器以感染其上托管的所有容器时,Kaiji攻击将部署自己的容器来容纳其DDoS恶意软件,”研究人员指出,这两种恶意软件变体之间存在差异。

此外,这两种恶意软件都收集详细信息,例如域名,网络速度,正在运行的进程的进程标识符以及发起DDoS攻击所需的CPU和网络信息。

研究人员总结说:“恶意软件变种背后的威胁行为者会不断使用新功能升级其创作,以便他们可以对其他入口点进行攻击。”

“由于它们相对易于在云中部署,因此Docker服务器正成为公司越来越受欢迎的选择。但是,这些也使它们成为不断寻求可利用系统的网络犯罪分子的诱人目标。”

建议运行Docker实例的用户和组织立即检查它们是否在Internet上公开API端点,关闭端口以及是否遵循推荐的最佳实践

 

*编译:Domino

*来自:thehackernews