網(wǎng)絡(luò)安全研究人員今天發(fā)現(xiàn)了完全不可檢測的Linux惡意軟件，該惡意軟件使用未知技術(shù)來監(jiān)視和鎖定主要云平臺(包括AWS，Azure和阿里巴巴云)上托管的公共可用Docker。

Docker是一種流行的針對Linux和Windows的平臺即服務(wù)(PaaS)解決方案，旨在使開發(fā)人員更容易在松散隔離的環(huán)境(稱為容器)中創(chuàng)建，測試和運行其應(yīng)用程序。

根據(jù)Intezer的最新研究，正在進(jìn)行的Ngrok挖礦僵尸網(wǎng)絡(luò)活動正在Internet上掃描配置不正確的Docker API端點，并且已經(jīng)用新的惡意軟件感染了許多易受攻擊的服務(wù)器。

盡管Ngrok采礦僵尸網(wǎng)絡(luò)在過去兩年中一直活躍，但新活動主要集中在控制配置錯誤的Docker服務(wù)器，并利用它們在受害者的基礎(chǔ)架構(gòu)上運行帶有加密礦工的惡意容器。這種新的多線程惡意軟件

被稱為“ Doki ”，它利用“一種無記錄的方法，以一種獨特的方式濫用狗狗幣加密貨幣區(qū)塊鏈來聯(lián)系其運營商，以便盡管在VirusTotal中公開提供了示例，也可以動態(tài)生成其C2域地址?！?

據(jù)研究人員稱，該惡意軟件：

設(shè)計用于執(zhí)行從其操作員接收到的命令，

使用Dogecoin加密貨幣區(qū)塊瀏覽器實時動態(tài)生成其C2域，

使用embedTLS庫進(jìn)行加密功能和網(wǎng)絡(luò)通信，

制作壽命短的唯一URL，并在攻擊過程中使用它們下載有效負(fù)載。

“該惡意軟件利用DynDNS服務(wù)和基于Dogecoin加密貨幣區(qū)塊鏈的獨特域生成算法(DGA)來實時查找其C2的域?！?

除此之外，此新活動的攻擊者還設(shè)法通過將新創(chuàng)建的容器與服務(wù)器的根目錄綁定，從而使主機訪問或修改系統(tǒng)上的任何文件，從而破壞了主機。

“通過使用綁定配置，攻擊者可以控制主機的cron實用工具。攻擊者修改主機的cron以每分鐘執(zhí)行下載的有效負(fù)載?！?

“由于攻擊者使用容器逃逸技術(shù)來完全控制受害人的基礎(chǔ)結(jié)構(gòu)，因此這次攻擊非常危險?！?

完成后，該惡意軟件還利用zmap，zgrap和jq等掃描工具，利用受感染的系統(tǒng)進(jìn)一步掃描網(wǎng)絡(luò)中與Redis，Docker，SSH和HTTP相關(guān)的端口。

盡管Doki已于2020年1月14日上載到VirusTotal，并在此后進(jìn)行了多次掃描，但仍設(shè)法躲藏了六個月以上。令人驚訝的是，在撰寫本文時，仍然無法被61個頂級惡意軟件檢測引擎中的任何一個檢測到。

最杰出的容器軟件已成為一個月中的第二次攻擊目標(biāo)。上個月末，發(fā)現(xiàn)惡意行為者以暴露的Docker API端點為目標(biāo)，并制作了惡意軟件感染的映像，以促進(jìn)DDoS攻擊和挖掘加密貨幣。

建議運行Docker實例的用戶和組織不要將Docker API公開給Internet，但是如果您仍然需要，請確保僅可從受信任的網(wǎng)絡(luò)或VPN訪問它，并且只有可信任的用戶才能控制Docker守護(hù)程序。

如果從Web服務(wù)器管理Docker以通過API設(shè)置容器，則應(yīng)該比通常更加謹(jǐn)慎地進(jìn)行參數(shù)檢查，以確保惡意用戶無法傳遞導(dǎo)致Docker創(chuàng)建任意容器的特制參數(shù)。在此處遵循最佳Docker安全實踐。

一起看等級保護(hù)重要政策文件之國發(fā)〔2012〕23號

美國號稱推出“虛擬不可入侵”互聯(lián)網(wǎng)的藍(lán)圖

糗大了!這是大疆無人機發(fā)現(xiàn)的新安全漏洞嗎?

21歲的塞浦路斯黑客被引渡到美國

美國CISA發(fā)布緊急指令20-03要求解決Windows DNS服務(wù)器SIGRed漏洞