Potrivit Foresight News, un raport al firmei de cibersecuritate Kaspersky a relevat o nouă activitate de malware pentru Linux care vizează infrastructuri Docker nesigure. Această amenințare transformă serverele expuse într-o parte a unei rețele descentralizate de cryptojacking care minează moneda de confidențialitate Dero.
Atacul exploatează API-ul Docker accesibil public pe portul 2375. Odată ce accesul este obținut, malware-ul generează containere malițioase, infectând containerele în funcțiune pentru a fura resursele sistemului pentru mineritul Dero. De asemenea, scanează pentru alte ținte fără a necesita un server de comandă central. Docker, din perspectiva software-ului, este un set de aplicații sau instrumente și produse de platformă care utilizează virtualizarea la nivelul sistemului de operare pentru a livra software în pachete mici cunoscute sub numele de containere.
Actorii de amenințare din spatele acestei operațiuni au desfășurat două implanturi bazate pe Golang: unul numit "nginx," care este deliberat deghizat ca software legitim de server web, și altul numit "cloud," care este efectiv software-ul de minerit pentru generarea Dero. Odată ce un gazdă este compromisă, modulul nginx scanează continuu internetul pentru mai multe noduri Docker vulnerabile, folosind instrumente precum Masscan pentru a identifica țintele și a desfășura noi containere infectate.
Pentru a evita detectarea, malware-ul criptează datele de configurare, inclusiv adresele de portofel și punctele finale ale nodurilor Dero, și se ascunde în căi utilizate de obicei de software-ul de sistem legitim. Kaspersky a descoperit că infrastructura pentru portofel și noduri utilizată în activitățile anterioare de cryptojacking care vizează clustere Kubernetes în 2023 și 2024 este aceeași, indicând o evoluție a unei operațiuni cunoscute mai degrabă decât o amenințare complet nouă.