De acordo com o Foresight News, um relatório da empresa de cibersegurança Kaspersky revelou uma nova atividade de malware Linux visando infraestruturas Docker inseguras. Esta ameaça está transformando servidores expostos em parte de uma rede descentralizada de cryptojacking minerando a moeda de privacidade Dero.
O ataque explora a API Docker acessível publicamente na porta 2375. Uma vez que o acesso é obtido, o malware gera contêineres maliciosos, infectando contêineres em execução para roubar recursos do sistema para a mineração de Dero. Ele também escaneia outros alvos sem precisar de um servidor de comando central. Docker, do ponto de vista do software, é um conjunto de aplicativos ou ferramentas e produtos de plataforma que utilizam virtualização em nível de sistema operacional para entregar software em pequenos pacotes conhecidos como contêineres.
Os atores de ameaças por trás desta operação implantaram dois implantes baseados em Golang: um chamado "nginx," que é deliberadamente disfarçado como software legítimo de servidor web, e outro chamado "cloud," que é o software real de mineração para gerar Dero. Uma vez que um host é comprometido, o módulo nginx escaneia continuamente a internet em busca de mais nós Docker vulneráveis, usando ferramentas como Masscan para identificar alvos e implantar novos contêineres infectados.
Para evitar a detecção, o malware criptografa dados de configuração, incluindo endereços de carteira e pontos finais de nós Dero, e se esconde em caminhos tipicamente usados por software de sistema legítimo. A Kaspersky descobriu que a infraestrutura de carteira e nó utilizada em atividades anteriores de cryptojacking visando clusters Kubernetes em 2023 e 2024 é a mesma, indicando uma evolução de uma operação conhecida em vez de uma nova ameaça completamente.