Docker-Exploits: Kryptowährungs-Mining über das Tor-Netzwerk

LONDON (IT BOLTWISE) – Eine neue Angriffskampagne hat gezeigt, wie Cyberkriminelle Docker Remote APIs und das Tor-Netzwerk nutzen, um Kryptowährungs-Miner auf den Systemen ihrer Opfer zu installieren.

In der Welt der Cyberkriminalität haben Angreifer eine neue Methode entwickelt, um Docker Remote APIs in Kombination mit dem Tor-Netzwerk zu nutzen. Diese Technik ermöglicht es ihnen, Kryptowährungs-Miner unbemerkt auf den Systemen ihrer Opfer zu installieren. Die Angreifer nutzen dabei falsch konfigurierte Docker APIs, um Zugang zu containerisierten Umgebungen zu erhalten, und verschleiern ihre Aktivitäten durch das Tor-Netzwerk.

Besonders auffällig ist der Einsatz von zstd, einem Tool, das auf dem ZStandard-Algorithmus basiert und für seine starke Kompressionsrate und schnelle Dekompressionsgeschwindigkeit bekannt ist. Diese Angriffe richten sich vor allem gegen cloudlastige Sektoren wie Technologieunternehmen, Finanzdienstleister und Gesundheitsorganisationen.

Trend Vision One, eine Sicherheitsplattform, erkennt und blockiert die in diesem Blog beschriebenen Indikatoren für Kompromittierungen (IOCs). Die Plattform bietet auch Suchanfragen, Bedrohungseinblicke und Bedrohungsberichte, um einen umfassenden Kontext und die neuesten Updates zu diesem Angriff zu erhalten.

Der Angriff beginnt mit einem Zugriff auf einen absichtlich exponierten Docker Remote API-Server, der dazu dient, das Verhalten von Exploits in freier Wildbahn zu überwachen. Die Angreifer erstellen einen neuen Container auf Basis des ‘alpine’-Docker-Images und montieren das Host-Root-Verzeichnis in den Container. Dies ist eine gängige Taktik, um das Host-System zu manipulieren und einen Container-Escape-Versuch zu unternehmen.

Der Angriff nutzt das Tor-Netzwerk, um anonym ein Remote-Skript von einem versteckten ‘.onion’-Server abzurufen und auszuführen. Diese Methode wird häufig verwendet, um die Infrastruktur für Befehls- und Kontrollserver zu verbergen, die Erkennung zu vermeiden und Malware oder Miner in kompromittierten Cloud- oder Containerumgebungen bereitzustellen.

Um sich vor solchen Angriffen zu schützen, sollten Organisationen sicherstellen, dass ihre Container und APIs korrekt konfiguriert sind. Docker bietet spezifische Richtlinien, wie Benutzer ihre Sicherheit stärken können. Es wird empfohlen, nur offizielle oder zertifizierte Images zu verwenden und Container nicht mit Root-Rechten auszuführen.

Diese Angriffe verdeutlichen die ausgeklügelten Methoden, die von böswilligen Akteuren eingesetzt werden, um Docker APIs und das Tor-Netzwerk zu nutzen, um ihre Aktivitäten zu verschleiern. Durch die Analyse des Angriffs erhalten wir wertvolle Einblicke in die Taktiken, Techniken und Verfahren (TTPs), die verwendet werden, um unsere Verteidigung zu stärken und kritische Infrastrukturen zu schützen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!