Exploração de serviços API Docker para SRBMiner Crypto Mining para ataques
Atores ruins foram observados visando o Docker servidores API remotos para implantar o minerador de criptografia SRBMiner em instâncias comprometidas, de acordo com novas descobertas da Trend Micro.
“Neste ataque, o ator da ameaça usou o gRPC protocolo sobre h2c para evitar soluções de segurança e executar suas operações de mineração de criptografia no host do Docker”, os pesquisadores Abdelrahman Esmail e Sunil Bharti disse em um relatório técnico publicado hoje.
“O invasor primeiro verificou a disponibilidade e a versão da API do Docker e, em seguida, procede com solicitações de atualizações gRPC/h2c e métodos gRPC para manipular as funcionalidades do Docker.”
Tudo começa com o invasor conduzindo um processo de descoberta para verificar se há hosts de API do Docker voltados para o público e a disponibilidade de atualizações de protocolo HTTP/2 para acompanhar uma solicitação de atualização de conexão para o protocolo h2c (ou seja, HTTP/2 sem criptografia TLS).
O adversário também passa a verificar se há métodos gRPC que são projetados para realizar várias tarefas relacionadas ao gerenciamento e operação de ambientes Docker, incluindo aquelas relacionadas a verificações de integridade, sincronização de arquivos, autenticação, gerenciamento de segredos e encaminhamento SSH.
Uma vez que o servidor processa a solicitação de atualização de conexão, um “/moby.buildkit.v1.Control/Solve” gRPC pedido é enviado para criar um contêiner e então use-o para minerar a criptomoeda XRP usando a carga útil SRBMiner hospedado no GitHub.
“O ator malicioso, neste caso, alavancou o protocolo gRPC em relação ao h2c, ignorando efetivamente várias camadas de segurança para implantar o minerador de criptografia SRBMiner no host Docker e minerar ilicitamente a criptomoeda XRP”, disseram os pesquisadores.
A divulgação vem como a empresa de segurança cibernética disse que também observado invasores que exploram servidores de API remotos expostos do Docker para implantar o perfctl malware. A campanha envolve a sondagem de tais servidores, seguida pela criação de um contêiner Docker com a imagem “ubuntu:mantic-20240405” e a execução de uma carga útil codificada no Base64.
O script shell, além de verificar e encerrar instâncias duplicadas de si mesmo, cria um script bash que, por sua vez, contém outra carga útil codificada no Base64 responsável por baixar um binário malicioso que se disfarça como um arquivo PHP (“avatar.php”) e entrega uma carga útil chamada httpd, ecoando um relatório do Aqua no início deste mês.
Recomenda-se que os usuários protejam os servidores de API remotos do Docker implementando controles de acesso fortes e mecanismos de autenticação para impedir o acesso não autorizado, monitorá-los para quaisquer atividades incomuns e implementar práticas recomendadas de segurança de contêiner.
Fonte: thehackernews.com
