Согласно Foresight News, отчет кибербезопасной компании Kaspersky раскрыл новую активность вредоносного ПО для Linux, нацеленного на небезопасные инфраструктуры Docker. Эта угроза превращает открытые серверы в часть децентрализованной сети криптодобычи, занимающейся майнингом конфиденциальной монеты Dero.
Атака использует общедоступный API Docker на порту 2375. Как только доступ получен, вредоносное ПО генерирует злонамеренные контейнеры, заражая работающие контейнеры для кражи системных ресурсов для майнинга Dero. Оно также сканирует другие цели без необходимости в центральном командном сервере. Docker, с точки зрения программного обеспечения, представляет собой набор приложений или инструментов и продуктов платформы, которые используют виртуализацию на уровне операционной системы для доставки программного обеспечения в небольших пакетах, известных как контейнеры.
Угрожающие лица за этой операцией развернули два импланта на основе Golang: один под названием "nginx", который намеренно замаскирован под легитимное программное обеспечение веб-сервера, и другой под названием "cloud", который является фактическим программным обеспечением для майнинга Dero. Как только хост скомпрометирован, модуль nginx постоянно сканирует интернет в поисках более уязвимых узлов Docker, используя такие инструменты, как Masscan, чтобы идентифицировать цели и развертывать новые зараженные контейнеры.
Чтобы избежать обнаружения, вредоносное ПО шифрует конфигурационные данные, включая адреса кошельков и конечные точки узлов Dero, и скрывает себя в путях, обычно используемых легитимным системным программным обеспечением. Kaspersky обнаружил, что инфраструктура кошельков и узлов, используемая в более ранних действиях по криптодобыче, нацеленных на кластеры Kubernetes в 2023 и 2024 годах, остается неизменной, что указывает на эволюцию известной операции, а не на совершенно новую угрозу.