Эксперты по кибербезопасности Kaspersky Lab обнаружили новую вредоносную кампанию, в которой злоумышленники используют уязвимости в Docker API для распространения майнера криптовалюты Dero. Атака напоминает «зомби-эпидемию»: каждый заражённый контейнер сканирует интернет в поисках новых жертв, создавая самораспространяющуюся бот-сеть без централизованного управления.
Описание
Как работает атака
Зловред состоит из двух компонентов:
- nginx - инструмент для распространения, маскирующийся под легитимный веб-сервер.
- cloud - майнер Dero, крадущий вычислительные ресурсы жертв.
Атака начинается с эксплуатации Docker API, оставленного открытым в интернете. После взлома злоумышленники:
- Создают новый контейнер с именем из случайных символов.
- Устанавливают в него сканер masscan для поиска других уязвимых Docker API.
- Загружают майнер и обеспечивают его автозапуск через .bash_aliases.
- Заражают уже работающие контейнеры на основе Ubuntu 18.04.
Особенности угрозы
- Самостоятельное распространение - не требует C2-сервера, используя только случайный перебор IP-сетей.
- Стелс-технологии - майнер скрывает конфигурацию с помощью AES-шифрования.
- Монетизация - добытая криптовалюта отправляется на кошелёк dero1qyy8xjrdjcn2dvr6pwe40jrl3evv9vam6tpx537vux60xxkx6hs7zqgde993y.
Масштабы угрозы
По данным Shodan, в апреле 2025 года в интернете оставалось 520 незащищённых Docker API на порту 2375. Ранее та же группа атаковала Kubernetes-кластеры через образ pauseyyf/pause:latest в Docker Hub.
Вывод
Эта кампания демонстрирует, как даже единичная уязвимость в контейнеризованной инфраструктуре может привести к массовому заражению. Организациям следует срочно проверить настройки Docker и усилить мониторинг активности.
Индикаторы компрометации
