Doki Malware défini contre les serveurs Docker: Botnets utilisés pour la distribution - FR

Les chercheurs en sécurité ont découvert que le malware Doki est activement utilisé par des groupes de piratage pour infecter les serveurs Docker. Toutes les sociétés d'hébergement Web et réseaux d'entreprise populaires font l'objet d'attaques en cours. L'une des raisons pour lesquelles cette attaque est considérée comme particulièrement dangereuse est le fait que plusieurs botnets ont été utilisés pour la distribuer..

Les serveurs Docker sont attaqués par le logiciel malveillant Doki!

Les serveurs Docker sont attaqués par un nouveau malware appelé Doc. Tout cela est fait par le Ngrok Botnet, un réseau dangereux d'hôtes infectés actif depuis au moins deux ans. Le malware lui-même est un virus Linux non détecté auparavant qui tire parti du grand nombre d'hôtes compromis. Ce botnet est configuré pour exposer les serveurs Docker qui sont hébergés sur des plates-formes cloud populaires telles qu'Azure et Amazon AWS.

La technique utilisée est complètement nouvelle — un portefeuille blockchain génère les serveurs de commande et de contrôle utilisés pour les communications avec les hackers. La crypto-monnaie utilisée pour cela était Dogecoin — son algorithme a été abusé pour générer dynamiquement l'adresse qui a été utilisée créer l'adresse requise sur laquelle les communications criminelles sont effectuées. Comme cela produit constamment de nouvelles adresses, le malware est resté non détecté pendant environ 6 mois.

La faille exploite des conteneurs Docker mal configurés - la méthode la plus couramment utilisée consiste à exploiter des images contenant le logiciel curl - un programme qui est utilisé pour récupérer des fichiers à partir d'emplacements distants. Les attaquants distants peuvent déployer images contenant des logiciels malveillants sur Internet - des stratégies de phishing courantes peuvent être employées pour inciter les utilisateurs à le télécharger et à le déployer sur leurs serveurs.

Alors que le réseau botnet peut rechercher des instances Docker vulnérables, dans le même temps, les groupes criminels peuvent également utiliser diverses stratégies de phishing afin de propager les copies infectées. Le malware Doki fonctionne en configurant des paramètres et des autorisations sur le service d'hébergement cloud en permettant aux attaquants distants d'y accéder. Le botnet Ngrok comprend également un script qui établit un tunnel sécurisé entre les hôtes infectés et les pirates. Les URL sont uniques et conservées pendant une courte durée de vie. Une fois activés, ils téléchargeront automatiquement les scripts distants. Les cas de malware Doki peuvent être configurés pour exécuter l'une des actions suivantes:

• Infections virales supplémentaires — Le malware Doki peut être utilisé pour déployer d'autres virus sur les machines infectées. Les plus courants sont mineurs de crypto-monnaie — scripts qui récupéreront des tâches gourmandes en performances à partir d'un hôte distant. Pour chaque tâche terminée et signalée, les pirates recevront des actifs de crypto-monnaie en guise de paiement.
• Manipulation du système — Le logiciel malveillant Doki peut être utilisé pour manipuler le système afin de reconfigurer les hôtes contaminés.
• Prise de contrôle de l'hôte — En utilisant le malware Doki, les pirates peuvent complètement prendre le contrôle des serveurs infectés en prenant le contrôle ou en volant les fichiers stockés.

Si vous exécutez un conteneur Docker, nous vous recommandons de un contrôle de sécurité approfondi est effectué. Passez en revue les autorisations des dossiers et des systèmes de fichiers afin de voir si quelqu'un d'autre que vous a accès aux données stockées.