Verkeerd geconfigureerde Docker-servers besmet met malware
Aanvaller zoeken actief naar verkeerd geconfigureerde Docker-servers om die vervolgens met malware te infecteren. Daarvoor waarschuwt securitybedrijf Aqua Security. Om toegang tot de servers te krijgen maken de aanvallers gebruik van een onbeveiligde open Docker API-poort.
Zodra er via deze poort verbinding is gemaakt starten de aanvallers een Ubuntu-container waarin de Kinsing-malware draait. Deze malware heeft als primair doel het draaien van een cryptominer, maar probeert ook andere containers en servers te infecteren. Om zich lateraal door het containernetwerk te bewegen laadt de malware een script dat SSH-inloggegevens opslaat. Met deze gegevens probeert de malware vervolgens op andere servers in te loggen en zich verder te verspreiden.
Organisaties krijgen het advies om al hun cloudsystemen in kaart te brengen, het principe van zo min mogelijk rechten toe te passen, gebruikte images te controleren en logbestanden op afwijkingen te onderzoeken.
https://success.docker.com/article/how-do-i-enable-the-remote-api-for-dockerd
Er is opzich niets mis met docker. Je mag het onzin vinden maar je zegt het nu alsof het algemeen bekend is dat er allerlei heftige problemen met docker zijn.
De noodzaak van het openzetten zal ongetwijfeld te maken hebben met een windowsbeheeromgeving.
Want... als het onveilig is moet het wel windows zijn?
De API wordt gebruikt om docker servers remote te beheren, containers starten,stoppen, etc. dus dat is heel erg aantrekkelijk om aan te zetten als je meerdere docker servers hebt draaien.
Wat mij opvalt is dat admins tegenwoordig geen firewalls meer gebruiken.Er zou niets aan de hand zijn met deze API als er gewoon een firewall voor zou zitten die de toegang beperkt op IP basis.
Niet iedereen weet er goed mee om te gaan of weten niet voldoende zodat "het werkt, dus zal het wel goed zijn" eerder van toepassing is, docker ben ik heel blij mee :-) #staysafe #stayfocussed #keepthehackersoutside
Als je als root het volgende commando geeft heeft iedereen onbeperkt toegang tot je server:
# passwd -d root
Een voorwaarde om succesvol te zijn is wel dat de computer van buitenaf benaderbaar is.
ssh server draait
firewall open staat voor het betreffende verkeer
geen restricties in b.v. /etc/hosts.deny staan
er een login shell beschikbaar is zonder beperkingen.
Wat een BUG zeg.
Natuurlijk is bijna iedere applicatie of OS fout te configureren net zo goed als iedereen je huis binnen kan lopen als de deur open staat.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
