چکیده
- یک کارزار جدید بدافزار لینوکس زیرساخت‌های Docker ناامن را هدف قرار داده و شبکه‌ای برای استخراج ارز دیجیتال Dero ایجاد کرده است.
- این حمله از APIهای Docker که روی پورت ۲۳۷۵ در معرض نمایش هستند، سوءاستفاده کرده و با استفاده از کانتینرهای مخرب ارز دیجیتال استخراج می‌کند.
- شرکت Kaspersky گزارش داده است که این بدافزار از ایمپلنت‌های مبتنی بر Golang استفاده کرده و داده‌ها را رمزگذاری می‌کند تا از شناسایی دور بماند.
یک کارزار جدید بدافزار لینوکس که به تازگی کشف شده، زیرساخت‌های Docker ناامن در سراسر جهان را به خطر می‌اندازد و سرورهای در معرض نمایش را به بخشی از شبکه غیرمتمرکز استخراج ارز دیجیتال حریم‌خصوصی Dero تبدیل می‌کند.
به گزارش شرکت امنیت سایبری Kaspersky، این حمله با سوءاستفاده از APIهای Docker که روی پورت ۲۳۷۵ به صورت عمومی در دسترس هستند، آغاز می‌شود. پس از دسترسی به این APIها، بدافزار کانتینرهای مخربی را ایجاد کرده و کانتینرهای در حال اجرا را آلوده می‌کند. این بدافزار از منابع سیستم برای استخراج Dero استفاده و به جستجوی اهداف بیشتر می‌پردازد، بدون اینکه نیازی به سرور فرماندهی مرکزی داشته باشد.
در دنیای نرم‌افزار، Docker مجموعه‌ای از اپلیکیشن‌ها یا ابزارهایی است که با استفاده از مجازی‌سازی در سطح سیستم‌عامل، نرم‌افزارها را در بسته‌های کوچکی به نام کانتینر ارائه می‌دهد.
عامل تهدید پشت این عملیات دو ایمپلنت مبتنی بر Golang را پیاده‌سازی کرده است: یکی با نام “nginx” که تلاشی آشکار برای جعل نرم‌افزار سرور وب قانونی است و دیگری با نام “cloud” که نرم‌افزار واقعی برای استخراج Dero است.
پس از آلوده‌سازی یک میزبان، ماژول nginx به‌طور مداوم اینترنت را برای یافتن نودهای Docker آسیب‌پذیر اسکن می‌کند و از ابزاری مانند Masscan برای شناسایی اهداف و پیاده‌سازی کانتینرهای آلوده جدید استفاده می‌کند.
محققان نوشتند: “کل کارزار مانند یک شیوع زامبی کانتینری رفتار می‌کند. هر نود آلوده به‌طور خودکار زامبی‌های جدیدی برای استخراج Dero و گسترش بیشتر ایجاد می‌کند. هیچ کنترلی از بیرون لازم نیست – تنها نقاط انتهایی Docker که به اشتباه پیکربندی شده‌اند.”
برای جلوگیری از شناسایی، این بدافزار داده‌های پیکربندی، از جمله آدرس‌های کیف پول و نقاط انتهایی نودهای Dero را رمزگذاری کرده و خود را در مسیرهایی که معمولاً توسط نرم‌افزار سیستم قانونی استفاده می‌شود، پنهان می‌کند.
Kaspersky همان زیرساخت‌های کیف پول و نودهایی را که در کارزارهای استخراج کریپتو قبلی هدف قرار داده شده بودند، در این حمله شناسایی کرده است. این نشان‌دهنده تکامل یک عملیات شناخته‌شده است و نه تهدیدی کاملاً جدید.
با این حال، در این مورد، استفاده از منطق کرمی که خود به خود گسترش می‌یابد و عدم وجود یک سرور فرماندهی مرکزی، آن را به‌ویژه مقاوم و دشوار برای متوقف کردن کرده است.
تا اوایل ماه مه، بیش از ۵۲۰ API Docker به صورت عمومی بر روی پورت ۲۳۷۵ در سراسر جهان در معرض نمایش بودند که هر یک می‌تواند به‌عنوان یک هدف بالقوه باشد.
