Προς το τέλος του 2017, οι ερευνητές ασφαλείας παρατήρησαν μια μεγάλη αλλαγή στις malware επιθέσεις. Καθώς οι τεχνολογίες που βασίζονται στο cloud έγιναν πιο δημοφιλείς, οι hacking ομάδες άρχισαν να στοχεύουν περισσότερο Docker και Kubernetes συστήματα.
Οι περισσότερες από αυτές τις επιθέσεις ακολούθησαν ένα πολύ απλό μοτίβο. Οι hackers σάρωναν το διαδίκτυο για συστήματα με λάθος διαμόρφωση, που είχαν εκτεθειμένα τα admin interfaces. Στόχος ήταν η απόκτηση ελέγχου των servers και η ανάπτυξη crypto-mining malware.
Τα τελευταία τρία χρόνια, αυτές οι επιθέσεις έχουν γίνει ακόμα πιο συχνές, και έχουν εμφανιστεί πολλά νέα malware και hacking ομάδες που στοχεύουν Docker και Kubernetes συστήματα.
Ωστόσο, παρά το γεγονός ότι οι malware επιθέσεις εναντίον Docker servers είναι πλέον συνηθισμένες, πολλοί web developers και μηχανικοί IT υποδομών εξακολουθούν να διαμορφώνουν εσφαλμένα τους Docker servers αφήνοντάς τους εκτεθειμένους σε επιθέσεις.
Το πιο συνηθισμένο από τα λάθη που γίνονται, είναι το ότι τα Docker remote administration API endpoints μένουν εκτεθειμένα στο διαδίκτυο χωρίς έλεγχο ταυτότητας.
Πολλά malware, όπως τα Doki, Ngrok, Kinsing (H2miner), XORDDOS, AESDDOS, Team TNT και άλλα, σαρώνουν το διαδίκτυο για Docker servers που έχουν εκτεθειμένο το Docker management API. Στη συνέχεια, οι επιτιθέμενοι το εκμεταλλεύονται για να αναπτύξουν κακόβουλες OS εικόνες για εγκατάσταση backdoors ή crypto-mining malware.
Ένα τέτοιο malware ανακαλύφθηκε την προηγούμενη εβδομάδα από την κινεζική εταιρεία ασφαλείας Qihoo 360. Το malware ονομάστηκε Blackrota και είναι ένα απλό backdoor trojan που αποτελεί μια απλοποιημένη έκδοση του CarbonStrike beacon που εφαρμόζεται στη γλώσσα προγραμματισμού Go.
Μέχρι τώρα, έχει ανακαλυφθεί μόνο μια Linux έκδοση και δεν είναι σαφές πώς ακριβώς χρησιμοποιείται αυτό το κακόβουλο λογισμικό. Οι ερευνητές δεν γνωρίζουν εάν υπάρχει και μια έκδοση των Windows ή εάν το Blackrota χρησιμοποιείται για crypto-mining ή για την εκτέλεση ενός DDoS botnet.
Αυτό που είναι σίγουρο είναι ότι το Blackrota βασίζεται σε προγραμματιστές που έχουν κάνει λανθασμένη διαμόρφωση των Docker servers.
Τόσο το νέο malware, όσο και οι προηγούμενες επιθέσεις δείχνουν ότι πρέπει να δοθεί περισσότερη έμφαση στην ασφάλεια των Docker συστημάτων.
Οι εταιρείες, οι web developers και οι μηχανικοί που χρησιμοποιούν Docker συστήματα πρέπει να βεβαιωθούν ότι έχουν πάρει τα κατάλληλα μέτρα για την προστασία των συστημάτων τους.
Προς το παρόν, υπάρχουν πολλά tutorials με οδηγούς βήμα προς βήμα, που θα φανούν χρήσιμα ακόμα και στους πιο άπειρους developers.
Με το Docker να γίνεται πιο δημοφιλές και τις επιθέσεις που στοχεύουν τέτοια συστήματα να αυξάνονται συνεχώς, οι προγραμματιστές πρέπει να θέσουν την ασφάλεια ως προτεραιότητα.
Πηγή: ZDNet
