最新消息:图 床

攻擊者濫用合法的雲監控工具進行網絡攻擊

COOL IAM 32浏览 0评论

譯者:知道創宇404實驗室翻譯組
原文鏈接:https://www.intezer.com/blog/cloud-workload-protection/attackers-abusing-legitimate-cloud-monitoring-tools-to-conduct-cyber-attacks/

介紹

TeamTNT是一個網絡犯罪組織,其目標是包括Docker和Kubernetes實例在內的雲環境。該組織先前已使用多種工具進行了記錄,包括加密礦工和Amazon Web Services(AWS)憑證竊取蠕蟲。

TeamTNT還被發現使用了惡意Docker鏡像,該鏡像可在Docker Hub上找到,以感染受害者的服務器。現在該小組正在發展。在Intezer觀察到的近期攻擊中,TeamTNT通過濫用Weave Scope來使用一種新技術,該工具可為用戶提供對其雲環境的完全訪問權限,並與Docker,Kubernetes,分佈式雲操作系統(DC / OS)集成在一起,和AWS Elastic Compute Cloud(ECS)。攻擊者安裝此工具是為了映射受害者的雲環境並執行系統命令,而無需在服務器上部署惡意代碼。

據我們所知,這是攻擊者首次使用合法的第三方軟件來瞄準雲基礎架構。濫用時,Weave Scope可以使攻擊者完全了解並控制受害人云環境中的所有資產,本質上是充當後門。

下面我們將描述攻擊流程和攻擊者對Weave Scope的使用。

攻擊流程

除加密礦工和惡意腳本外,TeamTNT的攻擊通常還涉及使用來自Docker Hub的惡意Docker映像。Intezer觀察到的近期攻擊的獨特之處在於,該組織濫用了一種稱為Weave Scope的合法開放源代碼工具,以完全控制受害者的雲基礎架構。

Weave Scope是Weave Works的開源工具,是該公司提供用於處理容器化應用程序的自動化工具。它提供了對Docker和Kubernetes的監視,可視化和控制。通過使用可從瀏覽器訪問的儀錶板,用戶可以完全控制基礎結構,包括有關容器,進程和主機的所有信息和元數據。

Weave Scope是一個功能強大的實用程序,它使攻擊者可以控制受害者服務器環境的所有信息,並具有控制它們的能力,包括:已安裝的應用程序,雲工作負載之間的連接,內存和CPU的使用以及具有以下內容的現有容器的列表:在任何這些容器中啟動,停止和打開交互式外殼的能力。通過安裝合法的工具(例如Weave Scope),攻擊者可以獲得所有好處,就好像他們在服務器上安裝了後門程序一樣,而工作量大大減少,並且無需使用惡意軟件。
攻擊者濫用合法的雲監控工具進行網絡攻擊

上圖是Linux服務器的Weave Scope可視化效果。左側是基於Nginx的容器的開放式終端。右邊是服務器上所有容器的視圖。

為了在服務器上安裝Weave Scope,攻擊者使用暴露的Docker API端口並使用乾淨的Ubuntu映像創建一個新的特權容器。容器配置為將容器的文件系統安裝到受害服務器的文件系統,從而使攻擊者可以訪問服務器上的所有文件。給容器的初始命令是下載並執行幾個加密礦工。

然後,攻擊者試圖通過在主機服務器上設置名為“hilde”的本地特權用戶並使用它來通過SSH重新連接來獲得對服務器的根訪問權限。

接下來,攻擊者下載並安裝Weave Scope。如Weave Scope的git中的安裝指南所述,只需很少的命令即可完成該工具的安裝。

转载请注明:IAMCOOL » 攻擊者濫用合法的雲監控工具進行網絡攻擊

0 0 vote
Article Rating
Subscribe
Notify of
0 Comments
Inline Feedbacks
View all comments
0
Would love your thoughts, please comment.x
()
x