Docker Hub中发现30个恶意镜像,下载次数超2000万
Unit 42研究人员在Docker Hub中 发现了30个恶意镜像,总下载量超过2000万次,保守估计加密货币挖矿活动获利20万美元。
过去几年里,Unit 42研究人员发现有基于云的加密货币挖矿攻击活动,其中矿工通过Docker Hub中的镜像进行部署。
云平台被用于加密货币挖矿攻击的原因有:
- 云平台中包含有攻击目标的实例,比如CPU、容器、虚拟机等,每个实例被用来挖矿都可以带来巨大的收益。
- 云平台很难监控。矿工可以长期运行而不被发现,而且没有任何检测机制,用户只有在支付云服务使用账单时才可能会发现存在问题。
- 目前的云技术主要是基于容器的,而Docker Hub是默认的容器注册商。因此,攻击者利用Docker Hub来在被入侵的云端部署矿工。
研究人员对Docker Hub上的恶意挖矿镜像进行分析,发现了来自10个不同Docker Hub账户的30个镜像文件,累计下次次数超过2000万次。预计挖矿收益超过20万美元。
Docker Hub中加密货币挖矿镜像中的加密货币分布如下所示:
其中门罗币占比90.3%,Grin占比6.5%,Arionum占比3.2%。
门罗币是部署最多的加密货币挖矿机,攻击者首选门罗币的原因有:
- 门罗币提供了最大的匿名性。门罗币的交易是隐藏的,门罗币的匿名和隐私性使得攻击者的非法活动被隐藏。因此,很难追踪其资金的流向。
- ·门罗币挖矿算法倾向于CPU挖矿。与其他加密货币挖矿算法需要ASIC或GPU进行挖矿不同的是,门罗币挖矿算法倾向于CPU挖矿。而所有的计算机都有CPU,因此矿工可以在任意一台机器上部署和运行。
- 门罗币是一款主流的加密数字货币。其交易量已经达到每天1亿美元,因此攻击者挖矿所得的门罗币可以很快出手。
在进行门罗币挖矿的攻击活动中,攻击者使用最多的XMRig。由于XMRig非常高效率、且容易使用、而且是开源的。因此攻击者可以修改其代码。
研究发现有90%的攻击活动中使用XMRig,剩余10%使用Xmr-stack。
容器注册商允许用户升级其镜像,并在这一过程中上传一个新的标签tag到注册商处。Tag是一种对同一镜像的不同版本进行标记的方法。研究人员在分析镜像的tag时发现,一些镜像对不同的CPU架构或操作系统有不同的tag。攻击者这样做的目的可能是适配不同操作系统和CPU架构的可能的受害者。
在部分镜像中,研究人员还发现有不同类型加密货币挖矿机的tag。这样,攻击者就可以针对受害者的硬件来选择最好的加密货币挖矿机。
在这些镜像中研究人员发现同一个镜像中的钱包地址和矿池凭证是相同的。在这些id的帮助下,研究人员成功地对每个攻击活动进行了分类。研究人员进一步分析还发现有大量的Docker Hub账户是属于同一攻击活动的。比如,021982、dockerxmrig、ggcloud1 和 ggcloud2等账户。
研究人员分析发现Docker Hub中存在用于加密货币挖矿攻击活动的恶意镜像文件,总下载超过2000万次。其中主要进行门罗币挖矿,保守估计加密货币挖矿活动获利20万美元。
本文翻译自:https://unit42.paloaltonetworks.com/malicious-cryptojacking-images/
低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。
持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。
转载内容版权归作者及来源网站所有,本站原创内容转载请注明来源。
- 上一篇
白帽子与厂商battle的那些事,你是否也遇到过?
在无数个向厂商提交漏洞的日子里, 以下的场景你是否似曾相识? 被厂商“白嫖”:“这根本不是一个漏洞!” 但当你再次复查时,发现漏洞已经被修复。 被厂商的威胁:“这就不是一个洞,但你敢公开的话就试试看!” 被厂商误会:“你知道这样是违规披露漏洞吗?我会报警的!......” 然后你真的就被邀 “喝茶”了。 被厂商“占便宜”:“不好意思,今日起,这类漏洞的奖金减半!” 近几年,白帽子私曝漏洞的事件频发,在业界引起了不小的波澜,在告知白帽子私曝漏洞的行为会有触犯法律的风险,呼吁白帽子加强法律意识之际,好像没有人去深究白帽子选择私曝漏洞的原因,也没有人问过他们,“为什么你要违规披露漏洞?”。 为了一探究竟,笔者采访了四位来自不同团队、不同背景的白帽子,了解这个群体选择私曝漏洞背后可能的原因。 答案似乎很一致:炫技、法律意识不强、由于误会和厂商起了冲突所以一气之下公布漏洞……这三点是造成白帽子私曝漏洞的常见原因,其中第三点很可能是最主要的原因。 “不承认漏洞就算了,他们还威胁我!你敢信?” 被误会的月神:2017年,我在提交了某个互联网新闻平台的漏洞后,立马接到了厂商的电话, “你到底是谁,你是...
- 下一篇
作戏作全套,谷歌披露一个“努力”针对安全人员的攻击组织
一个卖力的黑客组织,为了钓鱼安全研究人员,建了个空壳安全公司,还在社交媒体推特和领英上注册了大量账户,诱骗他们点击公司官网,在该网站,有一个浏览器漏洞正等待被触发。 3月31日,谷歌威胁分析小组在一篇博客中更新称,一个由朝鲜政府支持的黑客组织建立了一家名为SecuriElite的假安全公司。在这家假公司的官网上,它宣称自己是一家位于土耳其的攻击性安全公司,提供测试、软件安全评估和漏洞利用。 威胁分析小组的Adam Weidemann介绍,该黑客组织为此共创建了8个推特帐号和7个领英帐号,自称是不同安全公司(包括Trend Macro)的漏洞研究人员和人力资源专员,还有一些人冒充该空壳公司的首席执行官和员工。 该黑客组织在2021年1月就被威胁分析小组标记过,当时该组织在推特、领英、Telegram、Discord和Keybase等各种社交媒体平台上创建了一个研究博客和多个配置文件,试图与研究人员沟通并建立信任。他们在博客部署了一个Windows后门,该后门以木马化的Visual Studio项目的形式出现。 随后,韩国网络安全公司ENKI的研究人员披露了Internet Explore...
相关文章
文章评论
共有0条评论来说两句吧...
文章二维码
点击排行
推荐阅读
最新文章
- SpringBoot2配置默认Tomcat设置,开启更多高级功能
- SpringBoot2编写第一个Controller,响应你的http请求并返回结果
- Hadoop3单机部署,实现最简伪集群
- SpringBoot2整合Redis,开启缓存,提高访问速度
- SpringBoot2全家桶,快速入门学习开发网站教程
- Springboot2将连接池hikari替换为druid,体验最强大的数据库连接池
- Docker快速安装Oracle11G,搭建oracle11g学习环境
- CentOS7,CentOS8安装Elasticsearch6.8.6
- SpringBoot2整合MyBatis,连接MySql数据库做增删改查操作
- Docker安装Oracle12C,快速搭建Oracle学习环境