Приватну криптовалюту Dero було атаковано новим саморозповсюджуваним шкідливим програмним забезпеченням.
Шкідливе програмне забезпечення поширювалося як хробак і створювало зловмисні контейнери після зараження нових пристроїв.
- Нова кампанія шкідливого ПЗ для Linux націлена на незахищену інфраструктуру Docker з метою створення мережі криптомайнерів, яка добуває Dero.
- Атака використовує відкриті Docker API на порті 2375, застосовуючи шкідливі контейнери для майнінгу криптовалюти та розповсюдження без центрального сервера.
- Kaspersky повідомляє, що шкідливе ПЗ використовує імпланти на базі Golang і шифрує дані для уникнення виявлення, що свідчить про еволюцію попередніх операцій криптоджекінгу.
Нещодавно виявлена кампанія Linux-шкідливого ПЗ скомпрометувала незахищену Docker-інфраструктуру у всьому світі, перетворюючи відкриті сервери на частину децентралізованої мережі криптомайнінгу, яка добуває криптовалюту конфіденційності Dero {{DERO}}.
За інформацією звіту кібербезпекової компанії Kaspersky, атака починається з використання публічно відкритих Docker API через порт 2375. Отримавши доступ, шкідливе ПЗ створює шкідливі контейнери. Воно інфікує вже запущені контейнери, витягуючи системні ресурси для майнінгу Dero та скануючи додаткові цілі без потреби у центральному сервері управління.
З програмного забезпечення docker — це набір додатків або платформних інструментів і продуктів, які використовують віртуалізацію на рівні операційної системи для доставки програмного забезпечення у вигляді невеликих пакетів, що називаються контейнерами.
Зловмисник, який стоїть за операцією, розгорнув два імпланти на базі Golang: один з назвою “nginx” (усвідомлена спроба замаскуватися під легітимне програмне забезпечення веб-сервера), та інший під назвою “cloud,” який є фактичним майнінговим ПЗ, що використовується для генерації Dero.
Після компрометації хоста, модуль nginx безперервно сканував інтернет на предмет інших вразливих Docker-вузлів, використовуючи інструменти на кшталт Masscan для ідентифікації цілей та розгортання нових інфікованих контейнерів.
“Вся кампанія поводиться як спалах зомбі-контейнерів,” — пишуть дослідники. “Один інфікований вузол автономно створює нових зомбі для майнінгу Dero та подальшого поширення. Не потрібен зовнішній контроль — лише більше неправильно налаштованих Docker-ендпоїнтів.”
Щоб уникнути виявлення, воно шифрує конфігураційні дані, включно з адресами гаманців і ендпоїнтами вузлів Dero, і ховається у шляхах, які зазвичай використовуються легітимним системним програмним забезпеченням.
Kaspersky ідентифікувала ті самі адреси гаманців і інфраструктуру вузлів, які використовувалися у ранніх кампаніях криптомайнінгу, що націлювалися на Kubernetes-кластери у 2023 та 2024 роках, що вказує на розвиток відомої операції, а не на принципово нову загрозу.
У цьому випадку, однак, використання логіки саморозповсюджуваного хробака та відсутність центрального сервера управління роблять атаку особливо стійкою і складнішою для ліквідації.
Станом на початок травня понад 520 Docker API були публічно відкриті через порт 2375 у всьому світі — кожен з них є потенційною ціллю.
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
Diversified RWA stablecoins sustain 5-7% yield from real credit as crypto funding compresses to ~4%. GENIUS pushes yield off-chain; TAM grows to $4B in 3 years.
Diversified RWA stablecoins sustain 5-7% yield from real credit as crypto funding compresses to ~4%. GENIUS pushes yield off-chain; TAM grows to $4B in 3 years.
Чому це важливо:
Diversified RWA stablecoins sustain 5-7% yield from real credit as crypto funding compresses to ~4%. GENIUS pushes yield off-chain; TAM grows to $4B in 3 years.
Новий голосовий ШІ від Block звучить моторошно людяно, викликаючи захоплення та побоювання шахрайства
Bitcoin Core змінює правила безпеки через те, що штучний інтелект робить пошук помилок у коді небезпечно легким
