建站
咨詢
售后
建站咨詢
新聞中心
Intezer研究人員發(fā)現一款利用無文件技術來繞過檢測的Linux惡意軟件——Doki。自2020年1月14日上傳到VirusTotal后，先后有60個惡意軟件檢測引擎對其就進行了檢測分析。Doki 成功繞過了這些引擎的檢測，其攻擊的目標主要是公有云平臺上的Docker服務器，包括AWS、Azure和阿里云。Docker是Linux和Windows平臺的一種PaaS 解決方案，開發(fā)者利用它可以在隔離的容器環(huán)境中創(chuàng)建、測試和運行應用。
站在用戶的角度思考問題，與客戶深入溝通，找到吉林網站設計與吉林網站推廣的解決方案，憑借多年的經驗，讓設計與互聯(lián)網技術結合，創(chuàng)造個性化、用戶體驗好的作品，建站類型包括：成都做網站、成都網站制作、企業(yè)官網、英文網站、手機端網站、網站推廣、域名申請、虛擬空間、企業(yè)郵箱。業(yè)務覆蓋吉林地區(qū)。
樣本地址：
https://www.virustotal.com/gui/file/4aadb47706f0fe1734ee514e79c93eed65e1a0a9f61b63f3e7b6367bd9a3e63b/detection
Intezer研究人員發(fā)現Ngrok 挖礦僵尸網絡正在掃描互聯(lián)網上錯誤配置的Docker API端點，并用新的惡意軟件來感染有漏洞的服務器。Ngrok僵尸網絡已經活躍了2年的時間，本次攻擊活動主要針對錯誤配置的Docker服務器，并在受害者基礎設施上搭建進行加密貨幣挖礦的惡意容器。
Doki是一款多線程的惡意軟件，使用了Dogecoin區(qū)塊鏈以一種動態(tài)的方式在生成C2域名地址實現了與運營者通信的無文件方法。Doki惡意軟件的功能包括：
- 執(zhí)行從運營者處接收的命令;
- 使用Dogecoin 區(qū)塊鏈瀏覽器來實時、動態(tài)地生成其C2域名;
- 使用embedTLS庫用于加密和網絡通信;
- 構造短期有效的URL，并使用這些URL來下載payload。
惡意軟件使用了DynDNS 服務和基于Dogecoin區(qū)塊鏈的域名生成方法來找出實時的C2域名。此外，攻擊活動背后的攻擊者通過將服務器的root目錄與新創(chuàng)建的容器綁定成功入侵了host機器，可以訪問和修改系統(tǒng)中的任意文件。通過使用bind配置，攻擊者可以控制主機的cron工具。修改主機的cron后就可以每分鐘執(zhí)行一次下載的payload。
由于攻擊者可以利用容器逃逸技術完全控制受害者的基礎設施，因為攻擊非常危險。一旦安裝成功，Doki既可以利用被入侵的系統(tǒng)來掃描與Redis、Docker、 SSH、 HTTP相關的端口。
第一個Doki樣本是2020年1月14日上傳到VirusTotal的，截止目前，61個頂級的惡意軟件檢測引擎都無法成功檢測出Doki。也就是說，過去6個月，用戶和研究人員對Doki的惡意活動是完全無感知的。
Docker是最主流的容器軟件，這也是一個月內Docker第二次成為攻擊的目標。上個月，研究人員就發(fā)現攻擊者利用暴露的Docker API終端和偽造的圖像來發(fā)起DDoS攻擊和進行加密貨幣挖礦。
研究人員建議運行Docker實例的用戶和企業(yè)不要暴露Docker API到互聯(lián)網，如果必須要暴露的話，建議使用可信網絡或虛擬專用網，并設置只允許可信用戶控制Docker daemon。如果是通過API來管理Docker，建議進行參數檢查來確保惡意用戶無法傳遞惡意參數導致Docker創(chuàng)建任意容器。
對Doki的完整分析參見：
https://www.intezer.com/container-security/watch-your-containers-doki-infecting-docker-servers-in-the-cloud/
標題名稱：一個無法檢測到的Linux惡意軟件——Doki
文章轉載：http://www.5511xx.com/article/dhhgghs.html
