<div id="post_message_793054">

Эксперты «Лаборатории Касперского» выявили эпидемию криптоджекинга в контейнерных средах. Авторы атак проникают в инфраструктуру через открытые API Docker и внедряют майнер Dero, а также сетевого червя для дальнейшего распространения инфекции.<br/>
<br/>
В зоне риска — ИТ-компании, облачные и хостинг-провайдеры, не уделяющие должного внимания защите API Docker и контролю над такими интерфейсами.<br/>
<br/>
Получив первоначальный доступ, злоумышленники не только заражают существующие контейнеры, но также создают новые на основе стандартного образа Ubuntu и внедряют в них двух написанных на Go вредоносов с безобидными именами cloud и nginx.<br/>
<br/>
Первый представляет собой кастомный майнер Dero (результат <a href="https://www.virustotal.com/gui/file/e4aa649015b19a3c3350b0d897e23377d0487f9ea265fe94e7 161fed09f283cf" target="_blank">VirusTotal — 33/65</a> по состоянию на 22 мая), второй — ранее неизвестный Linux-троян, отвечающий за обеспечение бесперебойной добычи криптовалюты, а также за проведение веб-атак на другие сети.<br/>
<br/>
Поиск незащищённых контейнерных сред осуществляется автоматически с помощью утилиты masscan. Подобная организация атак снимает необходимость в использовании C2-сервера.<br/>
<br/>
<img alt="" border="0" class="bbCodeImage" src="https://dl3.joxi.net/drive/2025/05/22/0048/3474/3202450/50/b51cfdde69.jpg"/><br/>
<br/>
<div style="margin:20px; margin-top:5px; ">
<!-- <div class="smallfont" style="margin-bottom:2px">Quote:</div> -->
<table border="0" cellpadding="6" cellspacing="0" width="100%">
<tr>
<td class="alt2" style="background: rgb(37, 37, 37) none repeat scroll 0% 0%; border: 1px solid rgb(0, 0, 0); border-radius: 5px; font-size: 11px; text-shadow: none;">
<font size="3">«Такой метод может привести к огромному росту числа заражений, — предупреждает Виктор Сергеев, возглавляющий команду Kaspersky Incident Response. — Каждый скомпрометированный контейнер — это потенциальный источник кибератак, если в сетях, которые могут стать мишенью, не будут заблаговременно приняты меры безопасности».</font>
</td>
</tr>
</table>
</div>Примечательно, что в текущей кампании используются узлы Dero и кошелек, засветившиеся два года назад в <a href="https://www.anti-malware.ru/news/2023-03-15-114534/40728" target="_blank">криптоджекинг-атаках на кластеры Kubernetes</a>.<br/>
<br/>
Поиск по Shodan, проведенный экспертами в прошлом месяце, выявил в интернете 520 доступных API Docker, опубликованных на порту 2375. Угроза актуальна также для России и стран СНГ.<br/>
<br/>
<img alt="" border="0" class="bbCodeImage" src="https://dl3.joxi.net/drive/2025/05/22/0048/3474/3202450/50/e85735d4cb.jpg"/><br/>
<br/>
<a href="https://www.anti-malware.ru/news/2025-05-22-114534/46128" target="_blank">@ Anti-Malware </a>
</div>