Servidores Docker apuntados por la nueva campaña de malware Kinsing

Imagen: Aqua Durante los últimos meses, una operación de malware ha estado escaneando en Internet servidores Docker que ejecutan puertos API expuestos en Internet sin contraseña. Los piratas informáticos están entrando en hosts desprotegidos e instalando una nueva cepa de malware de cripto-minería llamada Kinsing. Los ataques comenzaron el año pasado y aún continúan, según la firma de seguridad en la nube Aqua Security, que detalló la campaña en una publicación de blog el viernes.
Estos ataques son solo los últimos en una larga lista de campañas de malware que se han dirigido a instancias de Docker, sistemas que, cuando se ven comprometidos, proporcionan a los grupos de hackers acceso ilimitado a vastos recursos computacionales. Según Gal Singer, un investigador de seguridad de Aqua, una vez que los piratas informáticos encuentran una instancia de Docker con un puerto API expuesto, utilizan el acceso proporcionado por este puerto para activar un contenedor de Ubuntu, donde descargan e instalan el malware Kinsing. El objetivo principal del malware es extraer criptomonedas en la instancia de Docker pirateada, pero también viene con funciones secundarias. Estas incluyen ejecutar scripts que eliminan otro malware que se puede ejecutar localmente, pero también recopilan credenciales SSH locales en un intento de propagación a la red de contenedores de una empresa, para infectar otros sistemas en la nube con el mismo malware. Dado que los ataques de malware de Kinsing todavía están en curso, Aqua recomienda que las empresas revisen la configuración de seguridad de sus instancias de Docker y se aseguren de que las API administrativas no estén expuestas en línea. Dichos puntos finales de administración deben estar detrás de un firewall o puerta de enlace VPN, si necesitan exponerse en línea, o deshabilitarse cuando no se usan.
La reciente campaña de malware Kinsing es solo la última de una larga lista de ataques de botnets de cripto-minería que se han dirigido a instancias de Docker. Tales ataques comenzaron por primera vez en la primavera de 2018. Aqua y Sysdig fueron las primeras compañías en detectar ataques contra los sistemas Docker en ese momento.
Otros ataques y malware siguieron después de eso. Trend Micro (octubre de 2018), Juniper Networks (noviembre de 2018), Imperva (marzo de 2019), Trend Micro y Alibaba Cloud (mayo de 2019), Trend Micro nuevamente (junio de 2019) han detallado los informes que detallan otros ataques contra servidores Docker. Palo Alto Networks (octubre de 2019). pag VER GALERÍA COMPLETA.