Según investigadores de Darktrace y Cado Security Labs, una nueva campaña de malware de criptojacking ataca entornos Docker mediante una novedosa técnica de minería.
La campaña demuestra la tendencia de los atacantes a optar por métodos alternativos para generar criptomonedas, incluyendo el uso indebido de herramientas legítimas para obtener recompensas en criptomonedas.
El malware intenta conectarse a un sitio web legítimo de criptomonedas, una startup Web3 llamada teneo.pro.
Este servicio permite a los usuarios unirse a una red descentralizada y obtener tokens de criptomonedas privados a cambio de ejecutar un nodo que extrae sus datos distribuidos de redes sociales.
En la nueva campaña, el script del malware simplemente se conecta al websocket y envía pings de «mantener activo» para obtener más puntos de teneo, pero no realiza ningún tipo de extracción de datos. Estos «puntos teneo» se convierten en tokens de criptomonedas privados.
El atacante parece haber utilizado previamente técnicas similares para minar criptomonedas. Los investigadores revelaron que el contenedor más reciente en el perfil de Docker Hub del atacante ejecuta una instancia del cliente Nexus Network, un proyecto para realizar tareas de computación distribuidas de conocimiento cero a cambio de criptomonedas.
“Normalmente, los ataques tradicionales de cryptojacking se basan en el uso de XMRig para minar criptomonedas directamente; sin embargo, dado que XMRig se detecta con frecuencia, observamos que los atacantes están optando por métodos alternativos para generar criptomonedas”, explicaron los investigadores.
Darktrace y Cado añadieron que actualmente no pueden determinar el nivel de ganancias que el atacante logró generar con esta técnica, debido a la naturaleza cerrada de los tokens privados.
El intento de los atacantes de implementar el malware comienza con una solicitud para iniciar un contenedor desde Docker Hub. Este contenedor está diseñado para ejecutar el script ten.py, integrado en sí mismo.
El script implementa una serie de procesos, lo que resulta en la ejecución de una carga útil de Python decodificada.
Esta carga útil está altamente ofuscada, lo cual los investigadores lograron revertir ejecutando repetidamente la función de decodificación utilizada previamente en el lanzamiento de la carga útil y manipulando cadenas.
Explicaron que las múltiples capas de ofuscación probablemente estén diseñadas para eludir el análisis de firmas e intentar evitar que los analistas y otros hackers decodifiquen el malware.
“La ofuscación sigue siendo una técnica omnipresente empleada por la mayoría del malware para facilitar la detección y la evasión de la defensa, y ser capaz de desofuscar el código es una habilidad importante que los analistas deben poseer”, escribieron los investigadores.
Los investigadores enfatizaron que Docker es un servicio altamente selectivo e instaron a las empresas a tomar medidas para mejorar su seguridad.
Docker es una plataforma de software que permite a los usuarios crear, probar e implementar aplicaciones rápidamente.
El software se entrega en unidades estandarizadas llamadas contenedores, que contienen todo lo que necesita para ejecutarse, incluyendo bibliotecas, herramientas del sistema, código y entorno de ejecución.
Sin embargo, este servicio se ha utilizado anteriormente como vehículo para implementar malware.
Los investigadores afirmaron que los administradores de sistemas nunca deberían exponer Docker a internet a menos que sea absolutamente necesario.
Además, debe emplearse autenticación y cortafuegos para garantizar que solo los usuarios autorizados puedan acceder al servicio.