Kinsing kötü amaçlı yazılımlar artık konteyner görüntülerinde bilinen zayıflıklardan yararlanarak ve yanlış yapılandırılmış, açıkta olan postgresql kapsayıcılardan yararlanarak Kubernetes kümelerini aktif olarak ihlal ediyor.
Bu taktikler yeni olmasa da, Microsoft'un bulut ekibi savunucusu son zamanlarda bir artış gördüklerini ve tehdit aktörlerinin aktif olarak belirli giriş noktaları aradıklarını gösterdiğini bildiriyor.
Kinsing, tehdit aktörleri için gelir elde etmek için ihlal edilen sunucunun donanım kaynaklarını kullanarak kripto madenciliği için konteyner ortamlarını hedefleme geçmişine sahip bir Linux kötü amaçlı yazılımdır.
Kinsing'in arkasındaki tehdit aktörleri, Log4shell gibi bilinen güvenlik açıklarından yararlanmak ve daha yakın zamanda hedefleri ihlal etmek ve kalıcılık oluşturmak için bir Atlassian Confluence RCE ile bilinir.
Microsoft, bir Linux sunucusuna ilk erişim elde etmek için kinsing operatörleri tarafından kullanılan iki yöntemde bir artış gördüklerini - konteyner görüntülerinde veya yanlış yapılandırılmış PostgreSQL veritabanı sunucularında bir güvenlik açığından yararlanarak bir artış gördüklerini söylüyor.
Görüntü güvenlik açıklarından yararlanırken, tehdit aktörleri, yüklerini zorlamalarını sağlayan uzaktan kod yürütme kusurlarını avlar.
Bulut telemetri için Microsoft Defender, tehdit aktörlerinin ilk erişim için aşağıdaki uygulamalarda güvenlik açıklarından yararlanmaya çalıştığını gösterdi:
WebLogic vakalarında, bilgisayar korsanları CVE-2020-14882, CVE-2020-14750 ve CVE-2020-14883 için tarar, Oracle’ın ürününü etkileyen tüm uzaktan kod yürütme kusurları.
Microsoft Security Araştırmacı Sunders Bruskin'in raporu, “Son zamanlarda, WebLogic sunucularının savunmasız sürümlerini hedefleyen yaygın bir kinsing kampanyası belirledik” diyor.
“Saldırılar, WebLogic varsayılan bağlantı noktasına (7001) eşleşen açık bir bağlantı noktası arayan çok çeşitli IP adreslerinin taranmasıyla başlar.”
Bu sorunu azaltmak, dağıtmak istediğiniz görüntülerin en son mevcut sürümlerini kullanmak ve bu görüntüleri yalnızca resmi depolardan ve güvenilir yerlerden tedarik etmek kadar basittir.
Microsoft ayrıca IP Gezinme Listeleri ve en az ayrıcalık ilkelerini takip ederek maruz kalan kaplara erişimi en aza indirmeyi önerir.
Microsoft'un güvenlik uzmanlarının gözlemlediği ikinci ilk saldırı yolu, yanlış yapılandırılmış PostgreSQL sunucularının hedeflenmesinde bir artıştı.
Saldırganların yararlandığı en yaygın yanlış yapılandırmalardan biri, PostgreSQL'e “sunucuya bağlanabilen herkes veritabanına erişme yetkisi olduğunu” varsaymak için talimat veren 'Güven Kimlik Doğrulama' ayarıdır.
Başka bir hata, saldırganın sunucuya erişim sağlamak için kullanabileceği herhangi bir IP adresi de dahil olmak üzere çok geniş bir IP adresi aralığı atamaktır.
IP erişim yapılandırması katı olsa bile Microsoft, Kubernetes'in hala ARP (adres çözünürlük protokolü) zehirlenmesine eğilimli olduğunu söylüyor, böylece saldırganlar kümedeki uygulamaları erişim elde etmek için dolandırabilir.
PostgreSQL yapılandırma sorunlarını azaltmak için projenin güvenlik önerileri web sayfasına danışın ve önerilen önlemleri uygulayın.
Son olarak Microsoft, Cloud için Defender'ın PostgreSQL kaplarındaki izinli ayarları ve yanlış yapılandırmaları tespit edebileceğini ve yöneticilerin bilgisayar korsanlarının kaldırılmasından önce riskleri azaltmasına yardımcı olabileceğini söylüyor.
Sunucular kinsing ile enfekte olan PostgreSQL yöneticileri için Bigbinary'nin Sreeram Venkitesh, kötü amaçlı yazılımların cihazlarına nasıl bulaştığı ve nihayetinde nasıl kaldırıldıklarına dair bir makale yazdı.
Fidye yazılımı saldırılarında kullanılan Microsoft tarafından imzalanan kötü niyetli pencereler sürücüleri
Yeni Linux kötü amaçlı yazılım, arka kapı WordPress sitelerine 30 eklenti istismarı kullanıyor
Bilgisayar korsanları Windows cihazlarını ele geçirmek için sahte Pokemon NFT oyununu itin
Kötü niyetli PYPI paketleri, güvenlik duvarlarını atlamak için cloudflare tünelleri oluşturur
VSCODE Marketplace, kötü niyetli uzantılara ev sahipliği yapmak için istismar edilebilir
Kaynak: Bleeping Computer