Gli hacker abusano di account Docker Hub scarsamente protetti per estrarre criptovaluta

Una banda di criminali informatici ha preso di mira container Docker mal configurati per estrarre criptovaluta.

A ottobre, i ricercatori di sicurezza di Trend Micro hanno scoperto che gli hacker hanno preso di mira server mal configurati con API REST Docker esposte facendo girare container da immagini che eseguono script dannosi.

Questi script hanno fatto tre cose. Innanzitutto, i minatori di criptovaluta Monero scaricati o in bundle. In secondo luogo, hanno eseguito la fuga da container a host utilizzando tecniche ben note. Infine, hanno eseguito scansioni a livello di Internet per le porte esposte da container compromessi.

I container compromessi della campagna hanno anche tentato di raccogliere informazioni, come il sistema operativo del server, il registro dei container impostato per l'uso, l'architettura del server, l'attuale stato di partecipazione allo sciame e il numero di core della CPU.

Per ottenere maggiori dettagli sul server configurato in modo errato, come il tempo di attività e la memoria totale disponibile, gli attori delle minacce avviano anche i container utilizzando la Docker-CLI impostando il flag "--privileged", utilizzando lo spazio dei nomi di rete dell'host sottostante "--net=host" e montando il file system radice degli host sottostanti nel percorso del contenitore "/host".

I ricercatori hanno trovato account di registro Docker Hub che erano compromessi o che appartengono a TeamTNT.

"Questi account venivano utilizzati per ospitare immagini dannose ed erano parte attiva di botnet e campagne malware che abusavano dell'API REST Docker", hanno affermato i ricercatori. Hanno quindi contattato Docker per rimuovere gli account.

I ricercatori di Trend Micro hanno affermato che gli stessi hacker hanno utilizzato anche dei ladri di credenziali che avrebbero raccolto le credenziali dai file di configurazione a luglio. I ricercatori ritengono che questo sia il modo in cui TeamTNT ha ottenuto le informazioni utilizzate per i siti compromessi in questo attacco.

"Sulla base degli script eseguiti e degli strumenti utilizzati per fornire coinminer, arriviamo alle seguenti conclusioni che collegano questo attacco a TeamTNT", hanno affermato i ricercatori. "'alpineos' (con un totale di oltre 150.000 pull con tutte le immagini combinate) è uno degli account Docker Hub principali utilizzati attivamente da TeamTNT. Esistono account Docker Hub compromessi che vengono controllati da TeamTNT per diffondere malware di mining di monete".

I ricercatori hanno affermato che le API (Application Programming Interface) Docker esposte sono diventate i principali obiettivi degli aggressori. Questi consentono loro di eseguire il proprio codice dannoso con privilegi di root su un host di destinazione se le considerazioni sulla sicurezza non vengono prese in considerazione.

"Questo recente attacco mette in evidenza solo la crescente sofisticatezza con cui vengono presi di mira i server esposti, in particolare da attori di minacce capaci come TeamTNT che utilizzano credenziali utente compromesse per soddisfare i loro motivi dannosi", hanno aggiunto.