Theo Foresight News, một báo cáo của công ty an ninh mạng Kaspersky đã tiết lộ một hoạt động malware Linux mới nhắm vào các hạ tầng Docker không an toàn. Mối đe dọa này đang biến các máy chủ bị lộ thành một phần của mạng khai thác tiền điện tử phi tập trung khai thác đồng tiền riêng tư Dero.
Cuộc tấn công khai thác API Docker công khai có sẵn trên cổng 2375. Khi có quyền truy cập, phần mềm độc hại tạo ra các container độc hại, lây nhiễm các container đang chạy để đánh cắp tài nguyên hệ thống cho việc khai thác Dero. Nó cũng quét tìm các mục tiêu khác mà không cần một máy chủ điều khiển trung tâm. Docker, từ góc độ phần mềm, là một tập hợp các ứng dụng hoặc công cụ và sản phẩm nền tảng sử dụng ảo hóa cấp hệ điều hành để cung cấp phần mềm trong các gói nhỏ được gọi là container.
Các tác nhân đe dọa đứng sau hoạt động này đã triển khai hai phần mềm độc hại dựa trên Golang: một cái tên là "nginx," được ngụy trang một cách cố ý như phần mềm máy chủ web hợp pháp, và cái khác gọi là "cloud," là phần mềm khai thác thực sự để tạo ra Dero. Khi một máy chủ bị xâm nhập, module nginx liên tục quét internet để tìm thêm các nút Docker dễ bị tổn thương, sử dụng các công cụ như Masscan để xác định mục tiêu và triển khai các container bị nhiễm mới.
Để tránh bị phát hiện, phần mềm độc hại mã hóa dữ liệu cấu hình, bao gồm địa chỉ ví và các điểm cuối nút Dero, và ẩn mình trong các đường dẫn thường được sử dụng bởi phần mềm hệ thống hợp pháp. Kaspersky phát hiện rằng cơ sở hạ tầng ví và nút được sử dụng trong các hoạt động khai thác tiền điện tử trước đó nhắm vào các cụm Kubernetes trong năm 2023 và 2024 là giống nhau, cho thấy sự tiến hóa của một hoạt động đã biết thay vì một mối đe dọa hoàn toàn mới.