Według Foresight News, raport firmy zajmującej się cyberbezpieczeństwem Kaspersky ujawnił nową działalność złośliwego oprogramowania Linux, celującą w niebezpieczne infrastruktury Docker. To zagrożenie przekształca wystawione serwery w część zdecentralizowanej sieci kradzieży kryptowalut, wydobywającej monetę prywatności Dero.
Atak wykorzystuje publicznie dostępną API Docker na porcie 2375. Po uzyskaniu dostępu, złośliwe oprogramowanie generuje złośliwe kontenery, infekując działające kontenery, aby kraść zasoby systemowe do wydobywania Dero. Skanuje również inne cele bez potrzeby centralnego serwera dowodzenia. Docker, z perspektywy oprogramowania, to zestaw aplikacji lub narzędzi platformowych i produktów, które wykorzystują wirtualizację na poziomie systemu operacyjnego do dostarczania oprogramowania w małych paczkach znanych jako kontenery.
Sprawcy zagrożenia stojący za tą operacją wdrożyli dwa implanty oparte na Golang: jeden o nazwie "nginx", który jest celowo ukryty jako legalne oprogramowanie serwera internetowego, oraz drugi o nazwie "cloud", który jest rzeczywistym oprogramowaniem do wydobywania Dero. Gdy host zostanie skompromitowany, moduł nginx ciągle skanuje internet w poszukiwaniu bardziej wrażliwych węzłów Docker, korzystając z narzędzi takich jak Masscan do identyfikacji celów i wdrażania nowych zainfekowanych kontenerów.
Aby uniknąć wykrycia, złośliwe oprogramowanie szyfruje dane konfiguracyjne, w tym adresy portfeli i punkty końcowe węzłów Dero, i ukrywa się w ścieżkach typowo używanych przez legalne oprogramowanie systemowe. Kaspersky odkrył, że infrastruktura portfela i węzła używana w wcześniejszych działaniach związanych z kradzieżą kryptowalut, które celowały w klastry Kubernetes w 2023 i 2024 roku, jest taka sama, co wskazuje na ewolucję znanej operacji, a nie całkowicie nowe zagrożenie.