Згідно з Foresight News, звіт компанії з кібербезпеки Kaspersky виявив нову активність шкідливого програмного забезпечення для Linux, яка націлюється на незахищені інфраструктури Docker. Ця загроза перетворює відкриті сервери на частину децентралізованої мережі криптоджекінгу, що видобуває монету конфіденційності Dero.
Атака експлуатує відкритий API Docker на порту 2375. Після отримання доступу шкідливе програмне забезпечення генерує злочинні контейнери, заражаючи працюючі контейнери для викрадення системних ресурсів для видобутку Dero. Воно також сканує інші цілі без потреби в центральному сервері командування. Docker, з точки зору програмного забезпечення, є набором додатків або платформних інструментів і продуктів, які використовують віртуалізацію на рівні операційної системи для доставки програмного забезпечення в невеликих пакетах, відомих як контейнери.
Зловмисники, які стоять за цією операцією, розгорнули два імплантати на основі Golang: один з назвою "nginx", який навмисно маскується під легітимне програмне забезпечення веб-сервера, та інший, названий "cloud", який є фактичним програмним забезпеченням для видобутку Dero. Після компрометації хоста модуль nginx постійно сканує Інтернет у пошуках більш вразливих вузлів Docker, використовуючи інструменти, такі як Masscan, для виявлення цілей та розгортання нових заражених контейнерів.
Щоб уникнути виявлення, шкідливе програмне забезпечення шифрує конфігураційні дані, включаючи адреси гаманців та кінцеві точки вузлів Dero, і ховається в шляхах, які зазвичай використовуються легітимним системним програмним забезпеченням. Kaspersky виявила, що інфраструктура гаманців і вузлів, яка використовувалася в попередніх активностях криптоджекінгу, що націлювалися на кластери Kubernetes у 2023 та 2024 роках, є тією ж самою, що вказує на еволюцію відомої операції, а не на абсолютно нову загрозу.