Bilgisayar korsanları, Kubernetes kümelerinde kalıcı arka kapı hesapları oluşturmak ve Monero kripto madenciliği için kaynaklarını ele geçirmek için RBAC (Rol Tabanlı Erişim Kontrolü) içeren yeni bir yöntem kullanır.
RBAC, yöneticilerin hangi kullanıcıların veya hizmet hesaplarının API kaynaklarına ve işlemlerine erişebileceğini tanımlamasına izin veren bir Kubernetes API erişim kontrol sistemidir.
Kötü niyetli erişim kontrol politikalarını uygulamak için RBAC'yi kötüye kullanarak, tehdit aktörleri gelecekte ilk erişimi sağlayan yanlış yapılandırma sabit olsa bile tehlikeye atılan kümelerde devam edebilir.
Bu yeni saldırı, Aqua Security'nin 'RBAC Buster' kampanyasını adlandıran "Nautilus" araştırma ekibi tarafından keşfedildi.
Analistler, saldırı kampanyasının aktif olarak 60 yanlış yapılandırılmış Kubernetes kümesini tehlikeye atmak için kullanıldığını bildirdi.
Aqua Security, tehdit aktörlerinin API'leri ortaya çıkarmak ve anahtarları erişim için bilerek yanlış yapılandırılmış Kubernetes Bingpots'larından birini ihlal ettikten sonra saldırıyı kaydedebilir ve analiz edebilir.
Hedef Kubernetes kümesine ilk erişim, ayrıcalıklı anonim kullanıcılardan kimlik doğrulanmamış isteklerle elde edilir, bu nedenle API sunucusunun yanlış yapılandırılması gerekir.
Daha sonra, saldırgan sırları listelemek için HTTP istekleri gönderir ve 'Kube-System' ad alanındaki varlıkları listeleyerek küme hakkında bilgi toplamak için API istekleri yapar.
Bu aşamada, saldırgan sunucunun kampanyaları tarafından zaten tehlikeye girip girmediğini, 'Kube-kontrolör' olarak konuşlandırıldığını veya diğer siber suçlu rakiplerin kümeyi zaten tehlikeye attığını kontrol ediyor. Diğer saldırganların dağıtımlarını bulursa, kendi kötü niyetli kullanımı için cihazın kaynaklarının kontrolünü ele geçirmeleri için onları silecektir.
Bir sonraki adım, saldırganın, yönetici seviyesi ayrıcalıkları ve 'Kube-System' ad alanında bir servis 'Kube-Controller' ile yeni bir 'ClusterRole' oluşturarak kümede kalıcılık kazanmasıdır.
Son olarak, saldırgan 'System: Controller: Kube-Controller' adlı bir ClusterRolebinding oluşturur, ClusterRole'u 'anonim kullanıcı erişiminin' devre dışı bırakılması durumunda bile kümede devam etmek için ServiceAccount ile bağlamak.
Bu ad, Kubernetes tarafından kullanılan meşru bir arka plan programına benzer olduğu için, tespit ve kütüklere karışmak için 'Kube-kontrolör' adlı bir küme deliği kullanıldı.
Aquasec'in Honeypot'u bilerek AWS erişim anahtarlarını açıkladı ve güvenlik firması, saldırganların erişebilecekleri bulut örneğinden ek bilgi toplamak için onlardan yararlandığını fark etti.
Saldırının son adımı, tek bir API isteği ile tüm düğümlerde bir Docker Hub ile barındırılmış konteyner görüntüsü ('Kuberntesio/Kube-Kontrolör') dağıtmak için bir DaemonSet oluşturmak ve izlemesi zor kripto para birimi Monero'yu madenciliğe başlatmaktır. uzlaşmış sunucu.
Aqua Security, kötü niyetli 'Kube-kontrolör' kapsayıcısının kamu Docker kayıt defterinden 'Kuberntesio/Kube-Controller: 1.0.1' olarak yerleştirildiğini ve bulunduğunu buldu. Bu isim meşru 'Kubernetesio' hesabını ve popüler 'Kube-Controller-Manager' görüntüsünü taklit ediyor.
İkincisi, düğüm arızalarını tespit etmek ve yanıtlamaktan sorumlu Kubernetes kontrol düzleminin sürekli olarak çalışan bir kritik bileşenidir, bu nedenle yöneticilerin gözden kaçması kolaydır.
Aquasec, depoya ilk yüklenmesinden bu yana beş ay boyunca belirli konteyner görüntüsünün Docker Hub'dan 14.000'den fazla kez çekildiğini ve kampanyanın yaygın olduğunu gösterdiğini bildirdi.
Cüzdan adresini yapılandırma dosyasından almak, saldırganın zaten 5 XMR mayınlı olduğunu ve işçi başına yılda 200 $ eşdeğer yapma potansiyeline sahip olduğunu ortaya koydu.
Kubernetes kümelerine RBAC Buster saldırılarının yankıları önemli olabilir ve verilere yetkisiz erişim, sırların maruz kalması, kaynak kaçırma ve potansiyel olarak itibar hasarı içerebilir.
Tehditi azaltmak için, anonim kullanıcılardan kimlik doğrulanmamış isteklere izin vermeyerek API sunucusunu güvence altına alın ve RBAC'ı etkin bir şekilde kullanarak katı API erişim politikaları oluşturun ve uygulayın.
Yöneticiler ayrıca denetim günlüklerini izlemeye ve kümede barındırılan sırları ve hesap kimlik bilgilerini şifrelemeleri istenir.
Kubernetes'i hedefleyen ilk bilinen Dero Cryptacking Operasyonu
Hacked Siteler Sahte Chrome güncellemeleri aracılığıyla kötü amaçlı yazılım yayarken yakalandı
BGP'nin kaçırılmasını önlemek için RPKI kullanacak tüm Hollandalı Govt ağları
Yeni AlienFox Toolkit, 18 Bulut Hizmetleri için Kimlik Bilgileri Çalıyor
Microsoft, Defender'a AI güdümlü fidye yazılımı koruması ekler
Kaynak: Bleeping Computer