Takeover」の日本語翻訳です。daemonと通信できます。Aquaの研究チームは、セキュリティ保護されていないDockerソケットAPI上で実行される興味深い攻撃ベクトルを発見しました。悪意のあるDockerイメージを実行するのではなく、攻撃者は元々のentrypointを変更して、Dockerソケットを介してホストマシンを乗っ取ります。/:mnt」つけて実行することで、ホストのrootファイルシステムをマウントできます。APIのこの基本的な機能は、通常、ファイルの永続化を目的として利用されます。ジョブスケジューラを変更して悪意のあるペイロードをホスト上で実行できます。run時に元々のentrypointを変更します。bash;注:CMDの最後のcurlコマンドには、ペイロードとなるbashスクリプトが含まれています。ペイロード実際のペイロードはホストマシン上で直接実行される大きなbashスクリプトで構成され、ハッカーがマイニングアルゴリズムを実行できるバックドアを設置します。最初のステップは、可能性のある脅威を特定してすぐに無効にするテストを実行するbashスクリプトです。apparmorとselinuxを無効にすることができます(これらは特定のパスへのアクセス許可を制限したり、ホスト上のアプリケーション実行をブロックするなど、プログラムの機能を制限するために使用されます)。CloudおよびQcloudにプレフィックスが付いているクラウドモニタリングシステムをアンインストールしようとしました。次に「useradd」コマンドがホストに新しいroot権限のユーザを作成します。これらの処理は、ホスト上で実行されるため、作成されたユーザは特権モードで実行を継続できます。永続性を得るために、認証キーを追加することで、リモートマシンからホストへのSSHログインを介したアクセスを提供されます。悪意のあるバイナリマイニング用途の実行可能ファイルと構成ファイルがダウンロードされ、実行可能ファイルは構成ファイルから関連パラメーターを解析しマイニングを開始します。試しにバイナリを実行してみると、次のような説明が表示されます。IDA(逆アセンブラのひとつ)にロードすると、複数のXMR(仮想通貨のひとつ)マイニング機能を含む静的にリンクされたバイナリが表示されます。ファイルをVirusTotal(マルウェア検査サイト)にアップロードすると、これはクリプトマイニング実行可能ファイルであることがわかります。APIをオープン状態で実行することは必ずしも危険とは言えかないかも知れませんが、ホストを危険にさらし、クリプトマイニングに利用されたり、ホストを完全に乗っ取られる可能性があります。この見落としにより、実際に損害を引き起こす可能性があります。これにより本番環境の内部ネットワーク全体が脆弱になり、機密製の高いデータベース・コード・実稼働システムが危険にさらされる可能性があることを意識すべきです。LABの情報を逃さずチェックしよう!メールアドレスを登録すると記事が投稿されるとメールで通知します。※登録後メールに記載しているリンクをクリックして認証してください。LABロゴ使用ガイドライン情報セキュリティ。