La botnet LemonDuck saquea las instancias de la nube de Docker en la ola de delitos de criptomonedas

Los operadores de la botnet LemonDuck están apuntando a las instancias de Docker en una campaña de minería de criptomonedas. LemonDuck es un malware de minería de criptomonedas envuelto en una estructura de botnet. El malware aprovecha las vulnerabilidades más antiguas para infiltrarse en los sistemas y servidores de la nube, incluidos los errores de Microsoft Exchange ProxyLogon, EternalBlue y BlueKeep.
Como señaló el equipo de seguridad de Microsoft en 2021, se sabe que los actores de amenazas detrás del malware son selectivos en lo que respecta al momento y pueden desencadenar un ataque cuando los equipos se centran en "parchar una vulnerabilidad popular en lugar de investigar el compromiso". LemonDuck ha ampliado sus operaciones desde máquinas Windows también para incluir Linux y Docker. En una campaña activa y en curso, Crowdstrike dice que las API de Docker están dirigidas a obtener acceso inicial a las instancias de la nube.
Docker se utiliza para ejecutar contenedores en la nube. El jueves, los investigadores de seguridad cibernética dijeron que LemonDuck aprovechará las configuraciones incorrectas en instancias que causan la exposición de API para implementar kits de explotación y cargar malware. En un caso observado por el equipo, se abusó de una API expuesta para ejecutar una instrucción ENTRYPOINT de Docker personalizada y descargar "core.
png", un archivo de imagen disfrazado de secuencia de comandos Bash. El archivo se descargó de un dominio en la infraestructura de comando y control (C2) "vasta" de LemonDuck. "CrowdStrike encontró varias campañas operadas a través del dominio dirigidas a las plataformas Windows y Linux simultáneamente", señalaron los investigadores.
Core.png iniciará un cronjob de Linux dentro del contenedor vulnerable y luego descargará un archivo Bash secundario, "a.asp", la carga útil principal de LemonDuck.
El cronjob activará LemonDuck. El malware primero matará varios procesos, incluidas las conexiones de red, las operaciones de minería de criptomonedas rivales y los vínculos existentes con los grupos de minería. LemonDuck también apuntará a demonios conocidos encargados de monitorear, como el servicio de monitoreo de Alibaba Cloud.
Ahora que el servidor ha sido preparado, comienza una operación de minería de criptomonedas. XMRig, utilizado para generar Monero (XMR), se inicia con una configuración establecida en grupos de proxy, un intento de ocultar la verdadera dirección de la billetera de criptomonedas del atacante. Sin embargo, LemonDuck no se detiene en una sola instancia de Docker.
El malware también buscará claves SSH en el sistema de archivos para iniciar sesión en otros servidores y repetir sus operaciones maliciosas. "Debido al auge de las criptomonedas en los últimos años, combinado con la adopción de la nube y los contenedores en las empresas, se ha demostrado que la criptominería es una opción económicamente atractiva para los atacantes, dicen los investigadores. "Dado que los ecosistemas de la nube y los contenedores usan Linux en gran medida, llamó la atención de los operadores de botnets como LemonDuck, que comenzó a apuntar a Docker para la minería de criptomonedas en la plataforma Linux.
" ¿Tienes un consejo? Póngase en contacto de forma segura a través de WhatsApp | Señal en +447713 025 499, o en Keybase: charlie0.