Команда Wiz Threat Research обнаружила масштабную кампанию криптоджекинга, направленную на популярные DevOps-приложения, включая Nomad, Consul, Docker и Gitea. Злоумышленники, обозначенные как JINX-0132, используют известные уязвимости и ошибки конфигурации для развертывания майнеров криптовалют на уязвимых серверах.
Описание
Особенностью этой кампании стало первое задокументированное использование уязвимостей в Nomad в реальных атаках. Атакующие избегают традиционных индикаторов компрометации (IOC), загружая инструменты напрямую из публичных репозиториев GitHub и используя стандартные версии майнера XMRig. Это усложняет обнаружение их активности, несмотря на относительно простые методы эксплуатации.
Среди основных целей атаки - HashiCorp Nomad и Consul, Docker API и Gitea. В случае с Nomad злоумышленники используют уязвимости в API для создания задач, которые загружают и запускают майнер Monero. В Gitea атакующие могут получить контроль через уязвимости в системе git-хуков или через незаблокированную страницу установки. В Consul злоумышленники злоупотребляют функционалом health checks для выполнения произвольного кода, а в Docker API - используют открытые порты для развертывания вредоносных контейнеров.
По данным Wiz, 25% облачных сред используют хотя бы одну из этих технологий, причем 5% из них имеют публично доступные экземпляры, а 30% из них содержат опасные конфигурационные ошибки. В зоне риска оказываются даже крупные компании с мощными серверными ресурсами, что подчеркивает важность соблюдения базовых мер безопасности.
Для защиты эксперты рекомендуют:
- Отключать публичный доступ к API Nomad и Consul, настраивать ACL и другие механизмы безопасности.
- Обновлять Gitea до последних версий и блокировать установочную страницу.
- Ограничивать доступ к Docker API, избегая его привязки к 0.0.0.0.
- Использовать инструменты мониторинга, такие как Wiz, для выявления уязвимых конфигураций и подозрительной активности.
Эта кампания напоминает о том, что даже продвинутые DevOps-инструменты могут стать легкой добычей для злоумышленников, если их не настроить должным образом. Организациям стоит пересмотреть свои политики безопасности, чтобы избежать участия в подобных атаках.
Индикаторы компрометации
SHA1
- ea7c97294f415dc8713ac8c280b3123da62f6e56
Monero wallet address
- 468VEByGGFQSN2bJG99ovhe5SG9SLxLAA9e2s7tWFxvBM33FAEP4JbwYHEeXexq8djYpDEHg9Jq6eGF3rREnAAc4UkjLd3E
