Siloscape é o nome do primeiro malware conhecido que visa inteiramente contêineres do Windows Server com a intenção de infectar clusters Kubernetes em ambientes de nuvem.
O malware foi descoberto pelo pesquisador de segurança da Palo Alto Unit 42, Daniel Prizmant:
Em março 2021, Eu descobri o primeiro malware conhecido direcionado a contêineres do Windows, um desenvolvimento que não é surpreendente, dado o grande aumento na adoção da nuvem nos últimos anos. Eu chamei o malware de Siloscape (soa como uma fuga do silo) porque seu objetivo principal é escapar do contêiner, e no Windows isso é implementado principalmente por um silo de servidor, ele disse em sua publicação.
Uma análise do malware Siloscape
Quanto ao propósito do Siloscape, o malware visa abrir um backdoor em clusters Kubernetes mal configurados e executar contêineres maliciosos, como cryptojackers. além disso, o malware está “fortemente ofuscado,”E uma vez que visa clusters inteiros em vez de contêineres individuais, seu impacto pode ser bastante desastroso.
“Ao contrário de outros contêineres de segmentação de malware, que são principalmente focados em criptojacking, O Siloscape não faz nada que possa prejudicar o cluster por conta própria. Em vez de, ele se concentra em ser detectado e indetectável e abre uma porta dos fundos para o cluster,”Prizmant disse.
“Comprometer um cluster inteiro é muito mais grave do que comprometer um contêiner individual, como um cluster pode executar vários aplicativos em nuvem, enquanto um contêiner individual geralmente executa um único aplicativo em nuvem,”Prizmant explicou em seu relatório. O malware Siloscape pode permitir que um invasor roube informações críticas de uma organização, como nomes de usuário e senhas, confidencial, arquivos internos, ou mesmo bancos de dados inteiros hospedados no cluster comprometido.
Os cenários de ataque também incluem ransomware, onde os arquivos de uma organização podem ser mantidos como reféns, ou violação de ambientes de desenvolvimento ou teste em ataques à cadeia de suprimentos de software. O último ataque é bastante provável, à medida que um número crescente de empresas está migrando para a nuvem, usando clusters Kubernetes como seus ambientes de teste.
relacionado: Infraestrutura de nuvem da Microsoft e do Google abusada por hackers em e-mails de phishing
Em termos de detalhes técnicos, o malware Siloscape usa o proxy Tor e um domínio .onion para se conectar ao servidor C2 anonimamente. Unidade 42 identificado 23 vítimas ativas do Siloscape. Além disso, seu servidor estava sendo usado para hospedar 313 usuários no total , indicando que o malware era uma pequena parte de uma operação maior. O pesquisador também conseguiu estabelecer que esta campanha em particular estava ativa há mais de um ano.
Como mitigar o malware Siloscape
Em primeiro lugar, os administradores devem garantir que o cluster Kubernetes esteja configurado com segurança. Vale ressaltar que um cluster protegido do Kubernetes não será tão vulnerável ao malware Siloscape, já que os privilégios dos nós não serão suficientes para criar novas implantações, Prizmant concluiu.
Cryptojacking Malware direcionado a Kubernetes e Docker
Ano passado, Operadores de criptominação TeamTNT estavam visando AWS (Amazon Web Services) credenciais e instalações do Kubernetes. O malware pode verificar os servidores infectados em busca de credenciais AWS. Caso os sistemas Docker e Kubernetes comprometidos estivessem em execução na AWS, o grupo de malware verificaria por ~ / .aws / credentials e ~ / .aws / config. Então, ele iria copiar e fazer upload dos arquivos em seu servidor de comando e controle.
Milena Dimitrova
Um escritor inspirado e gerente de conteúdo que está com SensorsTechForum desde o início do projeto. Um profissional com 10+ anos de experiência na criação de conteúdo envolvente. Focada na privacidade do usuário e desenvolvimento de malware, ela acredita fortemente em um mundo onde a segurança cibernética desempenha um papel central. Se o senso comum não faz sentido, ela vai estar lá para tomar notas. Essas notas podem mais tarde se transformar em artigos! Siga Milena @Milenyim
Me siga: