Les pirates abusent des comptes Docker Hub mal sécurisés pour exploiter la crypto-monnaie

Un gang de cybercriminels a ciblé des conteneurs Docker mal configurés pour extraire de la crypto-monnaie.

En octobre, les chercheurs en sécurité de Trend Micro ont découvert que des pirates ciblaient des serveurs mal configurés avec des API REST Docker exposées en faisant tourner des conteneurs à partir d'images qui exécutent des scripts malveillants.

Ces scripts ont fait trois choses. Tout d'abord, les mineurs de pièces de crypto-monnaie Monero téléchargés ou groupés. Deuxièmement, ils ont effectué un échappement conteneur-hôte en utilisant des techniques bien connues. Enfin, ils ont effectué des analyses à l'échelle d'Internet pour les ports exposés à partir de conteneurs compromis.

Les conteneurs compromis de la campagne ont également tenté de collecter des informations, telles que le système d'exploitation du serveur, le registre de conteneurs défini pour l'utilisation, l'architecture du serveur, l'état actuel de participation à l'essaim et le nombre de cœurs de processeur.

Pour obtenir plus de détails sur le serveur mal configuré, tels que la disponibilité et la mémoire totale disponible, les pirates lancent également des conteneurs à l'aide de docker-CLI en définissant l'indicateur "--privileged", en utilisant l'espace de noms réseau de l'hôte sous-jacent "--net=host" et en montant le système de fichiers racine des hôtes sous-jacents au chemin du conteneur "/host".

Les chercheurs ont trouvé des comptes de registre Docker Hub compromis ou appartenant à TeamTNT.

"Ces comptes étaient utilisés pour héberger des images malveillantes et constituaient une partie active des botnets et des campagnes de logiciels malveillants qui abusaient de l'API Docker REST", ont déclaré des chercheurs. Ils ont ensuite contacté Docker pour faire supprimer les comptes.

Les chercheurs de Trend Micro ont déclaré que les mêmes pirates avaient également utilisé des voleurs d'informations d'identification qui collecteraient les informations d'identification à partir des fichiers de configuration en juillet. Les chercheurs pensent que c'est ainsi que TeamTNT a obtenu les informations qu'il a utilisées pour les sites compromis dans cette attaque.

"Sur la base des scripts en cours d'exécution et des outils utilisés pour livrer les coinminers, nous arrivons aux conclusions suivantes reliant cette attaque à TeamTNT", ont déclaré les chercheurs. "'alpineos' (avec un total de plus de 150 000 pulls avec toutes les images combinées) est l'un des principaux comptes Docker Hub activement utilisé par TeamTNT. Il existe des comptes Docker Hub compromis qui sont contrôlés par TeamTNT pour diffuser des logiciels malveillants d'extraction de pièces. »

Les chercheurs ont déclaré que les interfaces de programmation d'application (API) Docker exposées sont devenues les principales cibles des attaquants. Ceux-ci leur permettent d'exécuter leur code malveillant avec des privilèges root sur un hôte ciblé si les considérations de sécurité ne sont pas prises en compte.

"Cette attaque récente ne fait que mettre en évidence la sophistication croissante avec laquelle les serveurs exposés sont ciblés, en particulier par des acteurs de menace capables comme TeamTNT qui utilisent des informations d'identification d'utilisateur compromises pour répondre à leurs motifs malveillants", ont-ils ajouté.