Nuevo ataque de criptojacking Dero dirigido a clústeres de Kubernetes
La compañía de ciberseguridad CrowdStrike ha observado la primera campaña de cryptojacking de Dero. El ataque se dirige a los clústeres de Kubernetes que eran accesibles en Internet y permitían el acceso anónimo a la API de Kubernetes.
¿Qué es Dero?
Dero es una plataforma de blockchain centrada en la privacidad que tiene como objetivo proporcionar transacciones rápidas y seguras con características de privacidad mejoradas.
Dero utiliza varias tecnologías, incluyendo CryptoNote, Bulletproofs y su propio algoritmo de prueba de trabajo para ofrecer transacciones privadas y anónimas sin comprometer la velocidad o la escalabilidad. Dero utiliza firmas de anillo y direcciones ocultas para garantizar que las transacciones no puedan ser rastreadas hasta su origen.
Dero también proporciona tarifas de transferencia bajas y la plataforma es de código abierto. La criptomoneda nativa de Dero se llama DERO.
Algunos ciberdelincuentes, al ver estas especificaciones, han comenzado a utilizar DERO en lugar de otras criptomonedas populares que son ampliamente utilizadas por los ciberdelincuentes, como Bitcoin y Monero.
Protección antivirus en línea: McAfee Clinic lleva la seguridad de tu PC al siguiente nivel¿Cómo opera este ataque de cryptojacking?
Con este ataque de cryptojacking, el actor de amenazas busca instancias de Kubernetes con el parámetro de autenticación establecido como "-anonymous-auth=true". Además, según los investigadores de CrowdStrike Benjamin Grap y Manoj Ahuje, "un usuario con suficientes privilegios que ejecute 'kubectl proxy' puede exponer accidentalmente una API de Kubernetes segura en el host donde se ejecuta kubectl, que es una forma menos obvia de exponer el clúster de Kubernetes seguro evitando la autenticación".
Una vez que se encuentra un clúster de Kubernetes vulnerable, el actor de amenazas implementa un DaemonSet de Kubernetes llamado "proxy-api". Esa acción implementa una cápsula maliciosa en cada nodo del clúster, lo que permite al atacante ejecutar el cryptojacking en todos los nodos del clúster al mismo tiempo (Figura A).
Figura A
Una vez configurado, se inicia la minería en cada cápsula, generando monedas Dero que luego se distribuyen a una piscina comunitaria.
¿Cuál es el alcance de este ataque de cryptojacking?
El actor de amenazas utiliza la imagen de Docker "pauseyyf/pause" que se aloja en Docker Hub. La imagen de Docker tiene más de 4.200 descargas en el momento de esta investigación (Figura B), revelando cuántas instancias potenciales de mineros se han implementado.
Cómo proteger tu computadora de los virus: métodos y consejosFigura B
Un archivo de script llamado "entrypoint.sh" ejecuta un binario de minero de monedas Dero llamado "pause", utilizando una dirección de billetera y una piscina de minería como argumentos.
Es probable que los atacantes hayan llamado al minero "pause" porque las cápsulas pausa en las instancias legítimas de Kubernetes se utilizan para inicializar las cápsulas. Ese nombre probablemente ayuda a los atacantes a evitar una detección obvia.
Según señalaron los investigadores, los atacantes no intentan moverse lateralmente o pivotar de ninguna manera alrededor de las instancias de Kubernetes, lo que significa que no están interesados en nada más que en recursos de minería para generar monedas Dero.
A diferencia de otras criptomonedas, como Bitcoin, no es posible verificar el saldo de la dirección de billetera utilizada en la campaña de ataque.
¡Defiéndete! Protege tu seguridad en línea contra amenazas críticasUn nuevo ataque a la criptomoneda Monero
En febrero de 2023, otra campaña afectó a las instancias de Kubernetes vulnerables, esta vez con el objetivo de minar la criptomoneda Monero.
La nueva campaña comenzó eliminando los DaemonSets de Kubernetes existentes llamados "proxy-api", que eran específicos de la campaña de cryptojacking de Dero. En otras palabras, el actor de amenazas que implementó la nueva campaña sabía sobre la operación de cryptojacking de Dero existente y quería eliminarla.
Además de eliminar los DaemonSets proxy-api, el atacante también eliminó los DaemonSets llamados "api-proxy" y "k8s-proxy", que posiblemente eran responsables de otras campañas de ataque.
La campaña de Monero es más sofisticada que la campaña de Dero, ya que implementa una cápsula privilegiada y monta un directorio "host" en un intento de escapar del contenedor. También creó una tarea programada para ejecutar una carga útil y utilizar un rootkit para ocultar el proceso de minería.
Cómo proteger tus instancias de Kubernetes
Es fundamental proteger las instancias de Kubernetes que son accesibles desde Internet. Sigue estos consejos para una protección óptima:
En primer lugar, ninguna instancia de Kubernetes debería permitir el acceso anónimo. Se debe aplicar una autenticación sólida para acceder a Kubernetes, como la autenticación multifactorial para garantizar que solo los usuarios autorizados puedan acceder a la instancia.
Protege tus contraseñas con PAM: Tu aliado para la seguridadTambién deberías implementar el control de acceso basado en roles para controlar el acceso a los recursos de Kubernetes según los roles y permisos de usuario.
En una escala más amplia, ya sea para Kubernetes o Docker, las imágenes de los contenedores solo deben descargarse de fuentes confiables como repositorios oficiales o proveedores de buena reputación. Incluso en ese caso, las imágenes deben escanearse en busca de vulnerabilidades.
A partir de ahí, hay que habilitar el registro y monitorear la actividad en todas las instancias de Kubernetes para detectar actividad sospechosa o intentos de acceso.
Por último, mantén todo el software actualizado y parcheado para solucionar problemas de seguridad y vulnerabilidades conocidas.
Cómo configurar un servidor VPN para hacer conexiones a través de firewallsEn Newsmatic nos especializamos en tecnología de vanguardia, contamos con los artículos mas novedosos sobre Seguridad, allí encontraras muchos artículos similares a Nuevo ataque de criptojacking Dero dirigido a clústeres de Kubernetes , tenemos lo ultimo en tecnología 2023.
Artículos Relacionados