একটি সাইবার অপরাধী চক্র ক্রিপ্টোকারেন্সির জন্য খনিতে খারাপভাবে কনফিগার করা ডকার কন্টেইনারগুলিকে টার্গেট করেছে৷
অক্টোবরে, ট্রেন্ড মাইক্রো-এর নিরাপত্তা গবেষকরা আবিষ্কার করেন যে হ্যাকাররা দূষিত স্ক্রিপ্টগুলি সম্পাদন করে এমন চিত্রগুলি থেকে কন্টেইনারগুলিকে স্পিন করে উন্মুক্ত ডকার REST API সহ খারাপভাবে কনফিগার করা সার্ভারগুলিকে লক্ষ্য করে৷
এই স্ক্রিপ্ট তিনটি জিনিস করেছে. প্রথমত, ডাউনলোড করা বা বান্ডিল করা Monero cryptocurrency coin miners. দ্বিতীয়ত, তারা সুপরিচিত কৌশল ব্যবহার করে কন্টেইনার-টু-হোস্ট পালাতে পারফর্ম করেছে। অবশেষে, তারা আপোসকৃত কন্টেইনার থেকে উন্মুক্ত পোর্টের জন্য ইন্টারনেট-ব্যাপী স্ক্যান করেছে।
প্রচারাভিযানের আপোসকৃত কন্টেইনারগুলি সার্ভারের অপারেটিং সিস্টেম, ব্যবহারের জন্য কনটেইনার রেজিস্ট্রি সেট, সার্ভারের আর্কিটেকচার, বর্তমান ঝাঁকের অংশগ্রহণের অবস্থা এবং CPU কোরের সংখ্যার মতো তথ্য সংগ্রহ করার চেষ্টা করেছিল।
মিসকনফিগার করা সার্ভার সম্পর্কে আরও বিশদ পেতে, যেমন আপটাইম এবং মোট মেমরি উপলব্ধ, হুমকি অভিনেতারাও "--সুবিধাপ্রাপ্ত" পতাকা সেট করে, অন্তর্নিহিত হোস্ট "--নেট=এর নেটওয়ার্ক নামস্থান ব্যবহার করে ডকার-সিএলআই ব্যবহার করে কন্টেইনারগুলি ঘোরান৷ হোস্ট,” এবং কন্টেইনার পাথ “/হোস্ট”-এ অন্তর্নিহিত হোস্টের রুট ফাইল সিস্টেম মাউন্ট করা।
গবেষকরা ডকার হাব রেজিস্ট্রি অ্যাকাউন্টগুলি খুঁজে পেয়েছেন যেগুলি হয় আপস করা হয়েছে বা টিমটিএনটির অন্তর্গত।
"এই অ্যাকাউন্টগুলি দূষিত ইমেজ হোস্ট করার জন্য ব্যবহার করা হচ্ছে এবং বটনেট এবং ম্যালওয়্যার প্রচারাভিযানের একটি সক্রিয় অংশ যা ডকার REST API এর অপব্যবহার করেছে," গবেষকরা বলেছেন। তারপরে তারা অ্যাকাউন্টগুলি সরানোর জন্য ডকারের সাথে যোগাযোগ করেছিল।
ট্রেন্ড মাইক্রো গবেষকরা বলেছেন যে একই হ্যাকাররা শংসাপত্র চুরিকারীও ব্যবহার করেছে যা জুলাই মাসে কনফিগারেশন ফাইল থেকে শংসাপত্র সংগ্রহ করবে। গবেষকরা বিশ্বাস করেন যে এভাবেই টিমটিএনটি এই আক্রমণে আপোসকৃত সাইটগুলির জন্য ব্যবহৃত তথ্য অর্জন করেছিল৷
গবেষকরা বলেছেন, "যে স্ক্রিপ্টগুলি কার্যকর করা হচ্ছে এবং কয়েনমাইনারগুলি সরবরাহ করতে ব্যবহৃত টুলিংয়ের উপর ভিত্তি করে, আমরা এই আক্রমণটিকে TeamTNT-এর সাথে সংযুক্ত করার জন্য নিম্নলিখিত সিদ্ধান্তে পৌঁছেছি।" "'alpineos' (সমস্ত ছবি একত্রিত করে মোট 150,000 টির বেশি টান সহ) টিমটিএনটি দ্বারা সক্রিয়ভাবে ব্যবহৃত প্রাথমিক ডকার হাব অ্যাকাউন্টগুলির মধ্যে একটি। কয়েন মাইনিং ম্যালওয়্যার ছড়ানোর জন্য টিমটিএনটি দ্বারা নিয়ন্ত্রিত হচ্ছে এমন আপোস করা ডকার হাব অ্যাকাউন্ট রয়েছে।"
গবেষকরা বলেছেন যে উন্মুক্ত ডকার অ্যাপ্লিকেশন প্রোগ্রামিং ইন্টারফেস (এপিআই) আক্রমণকারীদের জন্য প্রধান লক্ষ্য হয়ে উঠেছে। যদি নিরাপত্তা বিবেচনার জন্য হিসাব না করা হয় তাহলে এগুলি তাদের একটি লক্ষ্যযুক্ত হোস্টে রুট সুবিধা সহ তাদের দূষিত কোড কার্যকর করতে দেয়।
"এই সাম্প্রতিক আক্রমণটি শুধুমাত্র ক্রমবর্ধমান পরিশীলিততাকে হাইলাইট করে যার সাহায্যে উন্মুক্ত সার্ভারগুলিকে লক্ষ্যবস্তু করা হয়, বিশেষ করে TeamTNT এর মতো সক্ষম হুমকি অভিনেতারা যারা তাদের দূষিত উদ্দেশ্য পূরণের জন্য আপোসকৃত ব্যবহারকারীর শংসাপত্র ব্যবহার করে," তারা যোগ করেছে৷