含有挖礦惡意軟件的Docker Hub映像文件被下載了2000萬(wàn)次
Palo Alto Networks威脅情報(bào)團(tuán)隊(duì)Unit42的研究人員近日發(fā)現(xiàn)，Docker Hub上的多個(gè)容器映像文件被挖礦軟件劫持了至少兩年之久，且已被下載了超過(guò)2000萬(wàn)次。
Docker Hub是最大的容器應(yīng)用程序庫(kù)，企業(yè)可以通過(guò)Docker Hub在內(nèi)部或與其客戶(hù)共享映像文件，開(kāi)發(fā)人員社區(qū)則可以在該平臺(tái)分發(fā)開(kāi)源項(xiàng)目。
Unit 42的研究人員Aviv Sasson在Docker Hub上發(fā)現(xiàn)了30個(gè)參與加密貨幣挖礦劫持操作的惡意映像：
- 021982/155_138
- 021982/66_42_53_57
- 021982/66_42_93_164
- 021982/xmrig
- 021982/xmrig1
- 021982/xmrig2
- 021982/xmrig3
- 021982/xmrig4
- 021982/xmrig5
- 021982/xmrig6
- 021982/xmrig7
- avfinder/gmdr
- avfinder/mdadmd
- docheck/ax
- docheck/health
- dockerxmrig/proxy1
- dockerxmrig/proxy2
- ggcloud1/ggcloud
- ggcloud2/ggcloud
- kblockdkblockd/kblockd
- osekugatty/picture124
- osekugatty/picture128
- tempsbro/tempsbro
- tempsbro/tempsbro1
- toradmanfrom/toradmanfrom
- toradmanfrom/toradmanfrom1
- xmrigdocker/docker2
- xmrigdocker/docker3
- xmrigdocker/xmrig
- zenidine/nizadam
研究人員發(fā)現(xiàn)它們來(lái)自10個(gè)不同的用戶(hù)賬戶(hù)。其中一些名稱(chēng)清楚地表明了其用途，而其他名稱(chēng)則具有誤導(dǎo)性的名稱(chēng)，例如“proxy”或“ggcloud”或“docker”。
截止本文發(fā)布，除一個(gè)名為xmrigdocker的賬戶(hù)移除了映像文件外，所有賬戶(hù)中的映像仍可在Docker Hub上使用。
在大多數(shù)情況下，挖礦劫持攻擊者都會(huì)選擇挖掘門(mén)羅幣，而XMRig是最受歡迎的門(mén)羅幣挖礦工具。但是，Sasson發(fā)現(xiàn)某些操作還會(huì)挖掘Grin(GRIN)或ARO(Aronium)幣：
在檢查了礦池?cái)?shù)據(jù)之后，研究人員估計(jì)此次容器挖礦劫持活動(dòng)中攻擊者能夠開(kāi)采價(jià)值約20萬(wàn)美元的加密貨幣。
【本文是51CTO專(zhuān)欄作者“安全牛”的原創(chuàng)文章，轉(zhuǎn)載請(qǐng)通過(guò)安全牛（微信公眾號(hào)id:gooann-sectv）獲取授權(quán)】
