Киберпреступники атакуют кластеры Kubernetes с помощью движка рабочих процессов Argo Workflows

[Artifact]

В ходе одной из атак злоумышленники установили контейнер для майнинга криптовалюты kannix/monero-miner.

Поставщик систем безопасности Intezer предупредил о кибератаках, в ходе которых злоумышленники используют движок рабочих процессов Argo Workflows для осуществления атак на кластеры Kubernetes и развертывания криптомайнеров. Эксперты Intezer выявили ряд уязвимых контейнеров, которые использовались организациями в технологическом, финансовом и логистическом секторах.
Argo Workflows — контейнерный движок рабочих процессов с открытым исходным кодом, работающий с Kubernetes, позволяет пользователям легко запускать параллельные задания из центрального интерфейса. Argo Workflows использует YAML-файлы для определения типа выполняемой работы, при этом рабочие процессы выполняются либо из шаблона, либо отправляются напрямую с помощью консоли Argo Workflows.
По словам специалистов, в некорректно настроенных контейнерах злоумышленники могут получить доступ к открытой панели управления Argo и развернуть свой рабочий процесс. В ходе одной из атак злоумышленники установили известный контейнер для майнинга криптовалюты kannix/monero-miner, который был удален из Docker Hub. Контейнер использует ПО XMRig для добычи криптовалюты Monero, а хакеры с его помощью осуществляют операции криптоджекинга.
Пользователям настоятельно рекомендуется проверить свои установки Argo Workflows на предмет подозрительной активности. Например, если рабочие процессы выполняются слишком долго, это может указывать на работу криптомайнера.