هکرها از API های Docker پیکربندی نشده برای استخراج ارز دیجیتال از طریق شبکه Tor سوءاستفاده می‌کنند

مهاجمان سایبری از پیکربندی نادرست نمونه‌های Docker برای استخراج ارز دیجیتال سوءاستفاده می‌کنند و از شبکه Tor برای مخفی کردن فعالیت‌های خود استفاده می‌کنند. محققان شرکت Trend Micro اعلام کردند که مهاجمان با بهره‌گیری از API های Docker پیکربندی نشده، به محیط‌های کانتینری دسترسی پیدا کرده و سپس از Tor برای پنهان کردن هویت خود هنگام نصب استخراج‌کننده‌های رمزارز استفاده می‌کنند. این حملات با درخواست از آدرس IP مشخص آغاز شده و در صورت عدم وجود کانتینر، مهاجمان کانتینر جدیدی بر اساس تصویر “alpine” ایجاد کرده و دایرکتوری “/hostroot” را به عنوان volume متصل می‌کنند که امکان دسترسی به فایل‌های سیستم میزبان را فراهم می‌آورد.

مهاجمان پس از ایجاد کانتینر، اسکریپت Base64 کدگذاری شده‌ای را اجرا کرده تا Tor را راه‌اندازی کنند و سپس اسکریپت از دامنه .onion دریافت می‌کنند. آن‌ها همچنین پیکربندی SSH سیستم را تغییر داده تا دسترسی از راه دور را فعال کنند و کلید SSH خود را اضافه می‌کنند. در نهایت، باینری‌ای نصب می‌شود که به عنوان dropper برای استخراج‌کننده ارز دیجیتال XMRig عمل کرده و جزئیات کیف پول و URL های استخراج را ارائه می‌دهد. Trend Micro اعلام کرد که این فعالیت‌ها شرکت‌های فناوری، خدمات مالی و سازمان‌های بهداشتی را هدف قرار داده است. همزمان، شرکت Wiz نیز گزارش داد که اسکن مخازن کد عمومی صدها رمز معتبر در فایل‌های پیکربندی مختلف را کشف کرده که متعلق به بیش از ۳۰ شرکت از جمله شرکت‌های Fortune 100 است.