新型自传播恶意软件感染Docker容器以挖掘Dero加密货币
内容提要
不安全的Docker API实例成为恶意软件攻击目标，攻击者利用其进行Dero加密货币挖矿，入侵容器并创建僵尸网络，扩散至其他Docker实例。攻击链包括伪装成合法nginx的恶意软件和Dero矿机，最终目标是执行Dero挖矿程序。
关键要点
-
不安全的Docker API实例成为恶意软件攻击目标，专门挖掘Dero加密货币。
-
攻击者利用暴露的Docker API入侵容器，创建加密劫持网络。
-
攻击链包含伪装成合法nginx的恶意软件和Dero矿机，均采用Golang开发。
-
传播恶意软件记录运行活动，生成随机IPv4子网，寻找易受攻击的Docker实例。
-
恶意软件在容器内安装masscan和docker.io，以便与Docker守护进程交互。
-
为实现持久化，恶意软件在shell登录时自动启动，并感染基于Ubuntu的容器。
-
攻击目标是执行Dero加密货币挖矿程序，与CrowdStrike披露的活动存在关联。
-
AhnLab安全情报中心披露了另一攻击活动，涉及门罗币矿机和新型后门。
-
该后门使用PyBitmessage协议进行指令处理，具有匿名性和去中心化特征。
-
用户应避免从未知或不可信来源下载文件，以防止被攻击。
延伸解读
Docker API的安全隐患
不安全的Docker API实例成为攻击者的主要目标，尤其是在云计算环境中。用户应定期检查API的安全配置，确保其不被外部访问，以降低被恶意软件入侵的风险。
恶意软件的传播机制
该恶意软件通过生成随机IPv4子网并扫描易受攻击的Docker实例进行传播，显示出其高效的自我复制能力。用户需关注网络流量异常，及时发现潜在的安全威胁。
持久化攻击的风险
恶意软件通过在系统中添加启动项实现持久化，确保每次登录时自动运行。这种隐蔽性使得检测和清除变得更加困难，用户应定期审查系统启动项以防范此类攻击。
新型后门的威胁
AhnLab披露的新型后门利用PyBitmessage协议进行指令处理，具备匿名性和去中心化特征。用户在下载软件时应提高警惕，避免使用未知来源的文件，以防被植入后门。
延伸问答
什么是新型自传播恶意软件的主要目标？
新型自传播恶意软件的主要目标是感染不安全的Docker API实例，以挖掘Dero加密货币。
攻击者是如何利用Docker API进行攻击的？
攻击者利用暴露的Docker API入侵容器，创建加密劫持网络，并扩散至其他Docker实例。
该恶意软件的传播机制是怎样的？
恶意软件记录运行活动，生成随机IPv4子网，寻找易受攻击的Docker实例进行入侵。
恶意软件如何实现持久化？
恶意软件通过将二进制文件添加至'/root/.bash_aliases'，确保在shell登录时自动启动。
该恶意软件与其他攻击活动有什么关联？
该恶意软件的活动与CrowdStrike披露的针对Kubernetes集群的Dero挖矿活动存在关联。
用户如何防止被这种恶意软件攻击？
用户应避免从未知或不可信来源下载文件，以防止被攻击。
