Kaspersky: Docker-API im Visier
Container sind Angriffsziel
Experten von Kaspersky Security Services haben eine Cyberangriffskampagne identifiziert, die auf containerisierte Umgebungen abzielt. Sobald Angreifer eine unsicher veröffentlichte Docker-API identifizieren, kompromittieren sie entweder bestehende Container oder erstellen neue schädliche Versionen.
Anschließend injizieren die Angreifer zwei Malware-Typen in die kompromittierten Container:
- „cloud“, ein Dero-Kryptowährungs-Miner, und
- „nginx“, eine Schadsoftware, die die Persistenz aufrechterhält, die Ausführung des Miners sicherstellt und nach anderen exponierten Umgebungen sucht.
Diese Malware ermöglicht es Angreifern, ohne herkömmliche Command-and-Control-Server (C2) zu agieren. Stattdessen scannt jeder infizierte Container unabhängig das Internet und kann den Miner auf neue Ziele verteilen.
Die Angreifer betteten die Namen „nginx“ und „cloud“ direkt in die Binärdatei Dabei handelt es sich um eine übliche Tarnungstaktik, bei der die Nutzlast als legitimes Tool getarnt wird, um sowohl Analysten als auch automatisierte Abwehrmechanismen zu täuschen.
Die Kaspersky-Experten entdeckten diese schädliche Kampagne nach eigenen Angaben im Rahmen eines Kompromittierungsbewertungsprojekts. Ihrer Expertise zufolge kann jedes Unternehmen, das containerisierte Infrastruktur betreibt und Docker-APIs ohne robuste Sicherheitskontrollen exponiert, ein potenzielles Ziel sein. Dazu gehören Technologieunternehmen, Softwareentwicklungsfirmen, Hosting-Anbieter, Cloud-Service-Anbieter und weitere Unternehmen.
Amged Wageh, Experte für Incident Response und Kompromittierungsbewertung bei Kaspersky Security Services, erklärt dazu: „Die Kampagne hat das Potenzial für ein exponentielles Wachstum der Infektionen. Jeder kompromittierte Container fungiert als neue Angriffsquelle, sofern in den potenziell betroffenen Netzwerken nicht umgehend Sicherheitsmaßnahmen ergriffen werden. Container sind grundlegend für Softwareentwicklung, -bereitstellung und -skalierbarkeit. Ihre weit verbreitete Verwendung in Cloud-nativen Umgebungen, DevOps und Microservices-Architekturen macht sie zu einem attraktiven Ziel für Cyberkriminelle. Diese wachsende Abhängigkeit erfordert von Unternehmen einen umfassenden Sicherheitsansatz – eine Kombination aus robusten Sicherheitslösungen, proaktiver Bedrohungssuche und regelmäßigen Kompromittierungsbewertungen.“
Lesen Sie mehr zum Thema
