Giu 14, 2024 Attacchi, Malware, News, RSS

I ricercatori di Wiz, fornitore di soluzioni di sicurezza per il cloud, hanno scoperto una nuova campagna di cryptojacking che colpisce i cluster Kubernetes mal configurati.

Nella campagna, ancora in atto, gli attaccanti hanno sfruttato l’accesso anonimo ai cluster esposti su Internet per eseguire immagini di container malevoli presenti su Docker Hub. Le immagini contengono un miner di DERO chiamato pause.

“È interessante notare che gli attaccanti hanno codificato le informazioni relative ai loro portafogli nell’eseguibile del miner; ciò permette al gruppo di eseguire il miner senza alcun flag, probabilmente come meccanismo per evadere le difese” spiegano i ricercatori.

A essere vulnerabili sono tutti i cluster Kubernetes con autenticazione anonima abilitata che assegnano agli utenti anonimi permessi non di default, i quali possono essere abusati dagli attaccanti. Dopo aver ottenuto accesso iniziale e aver verificato di avere i permessi necessari, gli attaccanti eseguono diversi workload di cryptominer riferiti a pause con nomi che appaiono innocui.

Gli workload contengono diverse immagini malevole, tutte in grado di eseguire il miner pause. Il nome, spiegano i ricercatori, è stato scelto probabilmente per ricordare il vero container “pause” che si trova di solito nei cluster Kubernetes.

Il miner usato per il cryptojacking in Kubernetes è un malware open-source scritto in Go. Analizzando il codice del miner, i ricercatori hanno trovato due indirizzi di portafogli di criptovalute.

Il team di Wiz ha scoperto anche un altro miner DERO, questa volta specifico per sistemi Windows, e un dropper script chiamato ddns.sh usato dal gruppo per interrompere eventuali altri processi di mining in esecuzione sul sistema.

Non è la prima volta che i ricercatori di sicurezza individuano le attività di pause: lo scorso anno a marzo il team di CrowdStrike aveva segnalato per la prima volta l’attività del gruppo. Nel frattempo gli attaccanti hanno migliorato le proprie tecniche per eludere i controlli di sicurezza: in primis, il gruppo ha usato UPX-packing per oscurare i binari del malware; gli attaccanti hanno inoltre integrato gli indirizzi wallet nei binari per bypassare i controlli; infine, hanno utilizzato domini con nomi innocui per non dare nell’occhio e confondersi col traffico legittimo.

“Sebbene non vi siano prove che il gruppo a si sia spostato lateralmente dal cluster Kubernetes all’ambiente cloud più ampio, gli aggressori possono certamente farlo se non sono presenti solidi confini di sicurezza” afferma il team di Wiz.

Per proteggersi da questo attacco, i ricercatori consigliano di disabilitare l’accesso esterno al cluster a meno che non sia assolutamente necessario e disabilitare l’accesso anonimo alle risorse. 

• accesso anonimo, Cloud, cluster, cryptojacking, dero, Kubernetes, miner