您当前的位置:首页 > 电脑百科 > 安全防护 > 网络安全

Aqua CNDR助您瓦解 DreamBus 僵尸网络攻击

时间:2022-05-28 12:51:27  来源:  作者:AquaSecurity

最近,我们遇到了一个对于企业来说非常典型的攻击场景,一名拥有管理员权限的开发者在启动云原生应用时,错误地用了一个较弱的凭证来进行配置。仅12个小时之后,该环境就受到了DreamBus 僵尸网络的攻击,它试图躲避防御系统,并开始攻击系统,运行Kinsing恶意软件和加密货币挖矿代码(门罗)。在这时,Aqua的云原生监测及响应功能(CNDR)及时的发出了攻击警报。本文将介绍受攻击环境的基本情况,黑客如何获得访问权,以及Aqua的 CNDR 如何以与云化应用相匹配的速度进行检测、调查,和抵御攻击。

 

搭建环境

首先,开发者搭建了一个的简单的容器环境,由四个专属容器镜像组成:

  • Web UI: 允许用户由此登录并交互处理应用程序
  • 网关:可作为应用程序的网关
  • 微服务:可支持应用程序
  • 数据库: 一个PostgreSQL 数据库

 

Aqua CNDR助您瓦解 DreamBus 僵尸网络攻击

 

为了更好的理解攻击发生的方式和原因,我们首先复现开发者在运行容器之前所进行的动作。

 

扫描容器镜像

首先,开发者合理运用了Aqua的解决方案扫描了容器镜像。从下面的截图您可以看到,容器镜像微服务和web UI存在着低至中等程度的漏洞。由于它们的影响可以忽略不计,开发者没有理会这些漏洞,因此它们通过了该公司的安全合规政策评估。其他两个容器镜像看上去也似乎一切正常。

Aqua CNDR助您瓦解 DreamBus 僵尸网络攻击

 

接下来,开发者利用Aqua的动态威胁分析(Dynamic Threat Analysis, DTA)扫描了容器镜像。DTA的作用是在安全的隔离环境(即沙盒)中运行容器镜像,以便在容器开始运行后更好地了解其情况。因为静态扫描软件会基于数字签名和哈希算法来探测已知漏洞和恶意文件,而DTA能检测出在运行时才会显现的恶意行为,而一般的静态检测方法则没有办法检测出这种行为。

 

举例来说,即使一个容器镜像看上去是安全的,但这时一条命令要求从远程C2服务器里获得并执行有效负载(通常是通过Entrypoint),在这种情况下,静态扫描软件是不会监测该异常的。同样,对于采用无文件攻击的手法以及打包一些转码文件文件也可以达到逃避静态检测的效果。相较于静态扫描软件,DTA还有一个优势,它可以检测出恶意的网络流量。因此,DTA能够在给定的容器镜像上提供更全面的威胁检测输出。在这个案例中,DTA没有检测出任何问题——容器镜像中没有恶意软件。

 

运行工作负载

开发人员部署了 Aqua 的工作负载保护和 CNDR,但禁用了drift prevention的功能,如果该功能开启,在镜像实例化成为容器后,这一功能会严格禁止对镜像进行任何修改。 而且,该开发人员在设定相关外部防火墙策略时,将数据库容器开放允许用户从任何 IP 地址 (0.0.0.0:5432)进行访问,并没有创建任何微分段策略(Micro-segmentation policies)来限制对容器或数据库的访问。 除此之外,开发人员还给PostgreSQL 数据库配置了弱密码(Weak credentials)。

 

利用CNDR监测攻击

首次警报

 

Aqua的 CNDR是最近推出的云原生监测和响应功能,它利用基于内核观察形成的告警信号,实时检测并阻止未知攻击。

 

在环境创建之后的12个小时之内,CNDR警告其中一个容器出现了严重的安全问题。开发者即刻停止了这个容器的运行,并开始调查问题的成因。

Aqua CNDR助您瓦解 DreamBus 僵尸网络攻击

 

CNDR一共发出25条报警,提示容器和底层主机出现了不同的问题。通过CNDR的控制面板,事件和响应团队能够轻松地获知相应的信息、各个事件和相关背景、来源(例如主机或容器)、相关描述及严重性,从而节约了大量时间。

 

点击“查看完整事件数据”(View Full Event Data),可获取有关每个事件的详细信息。在本案例中,黑客在容器中执行了来自/tmp的Kinsing恶意软件。

Aqua CNDR助您瓦解 DreamBus 僵尸网络攻击

 

进一步收集证据

 

可以通过CNDR的审核筛选来进一步收集证据。CNDR监测到,有人使用了wget和curl从远程源下载文件。这就说明在运行期间,容器下载了应用curl,黑客因此能够从远程源下载更多的文件。

Aqua CNDR助您瓦解 DreamBus 僵尸网络攻击

 

CNDR的审计日志记录了约7000个事件,完整地重现了攻击时的情形。记录中包括检测可疑和恶意行为,以及阻断网络通信等,例如:

 

  • 监测到Wget/Curl 程序
  • 监测到加密挖矿
  • 通过/tmp执行 二进制
  • 禁用安全工具
  • 复制远程文件

我们在审计日志中发现了Kinsing恶意软件(MD5 648effa354b3cbaad87b45f48d59c616)和kdevtmpfsi (MD5 8c6681daba966addd295ad89bf5146af) 。有人将它们从远程源中下载到了/tmp 库。如下面的截图所示,它们的所有者都是“postgres”群组中的用户“postgres”。

Aqua CNDR助您瓦解 DreamBus 僵尸网络攻击

 

审计日志进一步显示了代码执行情况,如下:

Aqua CNDR助您瓦解 DreamBus 僵尸网络攻击

 

此外,容器中还发现了几个恶意文件:

 

  • k (MD5 d79229c6c7fcbc4802934e34f80661a8), 打包挖矿病毒
  • c (MD5 080a3bccdddc6979e3f1e74f732603b0), 打包挖矿病毒
  • ss (MD5 a0db00b585a994be2cff9bb4a62ca385), 尽管 ViRustotal未检测到,仍是挖矿病毒
Aqua CNDR助您瓦解 DreamBus 僵尸网络攻击

 

获得初始访问权

 

尽管通过分析PostgreSQL日志可以知道为了获取初始访问权而出现的违规操作,但是这些日志连同其他日志一起都丢失了。删除系统日志正是Kingsing黑客的惯用伎俩之一。

 

通过CNDR的事件屏幕中的一个警报能够推断出,黑客通过删除系统日志破坏了系统的完整性。这就解释了日志文件丢失的原因。这也不禁让人怀疑,黑客是否转储了数据库的内容,并将其泄露到外部环境。

 

从Postgres 9.3版开始, 数据库的超级用户和‘pg_execute_server_program’群组中的用户就能利用‘COPY TO/FROM PROGRAM’功能运行任意的OS指令。该功能可能会在身份验证后被攻击,或在后台运行PostgreSQL时通过SQL注入攻击。值得注意的是,供应商却并不认为这个功能是一个漏洞。

 

重要经验:深度防御非常关键

 

从这次攻击中,我们可以看到深度防御战略发挥了明显的作用。在该环境中部署的,包括工作负载保护和安全扫描在内的保护初始层,都无法预防或监测到攻击的发生。

 

如果不是CNDR的告警提示,黑客就已经成功完成了攻击,神不知鬼不觉地挖矿加密货币,并可能造成更大的破坏。然而,CNDR实时监测到了攻击,不仅针对恶意活动发出了警报,还提供了额外的日志,以协助进一步调查。

 

类似的攻击表明,深度防御的方法是有价值的——它构建了多重的安全功能,部署了丰富的防御能力,可以瓦解多种攻击向量(attack vectors)。如果一个安全管控失效了,还有其它的安全层可以预防或阻止攻击。

 

迁移推荐:Aqua的运行时深度防御战略

Aqua的运行时保护方法部署了一系列的安全机制,在您的云原生环境中建立了一层又一层的管控功能,以保护网络、工作负载和数据的保密性、完整性和可用性。

 

高级恶意软件和行为保护

Aqua高级防恶意软件保护功能能持续对环境进行扫描,根据数字签名和哈希算法监测已知威胁和恶意软件。在本次攻击中,Aqua的防恶意软件保护功能监测到了恶意脚本(.systemd-service.sh)、Kinsing恶意软件、Kdevtmpfsi加密货币挖矿代码和其它的恶意内容。

 

为了检测未知的威胁,Aqua基于行为的保护功能可以发现可疑和恶意的行为,包括无文件的恶意软件执行、防御规避技术、可疑的网络通信和木马。在本案例中,CNDR发现了若干个可疑的实例和恶意活动,包括删除日志和下载并执行二进制。

 

我们强烈推荐您使用工具来确保密码的高强度并与生产兼容。比如,AvishAI Wool 和Liron David的项目可以预估密码长度,即通过预测密码破解软件需要尝试多少次才能破解密码,从而帮助用户避免选择那些保密性弱的密码。

 

调查期间,我们利用Aqua的解决方案扫描了我们的容器镜像:静态扫描软件和DTA。本案例中被攻击的漏洞存在争议,因而被忽视了。为此,我们强烈建议在生产环境中部署CNDR等监测及响应解决方案,它们不仅能够在运行时发现恶意行为,还有助于监测并预防生产环境中出现零日攻击(Zero-day attacks)。

 

Aqua的云工作负载保护平台能力

Aqua的云工作负载保护平台能力包含了一套强大的运行时控制(Runtime controls)能力,适用于虚拟机、容器和无服务器架构负载保护。它们充当深度防御层,在运行前就加固工作负载,之后实时抵御生产环境中正在进行的攻击。而另外一些事前控制策略例如镜像合规策略等负责检测工作负载是否符合规范运行要求,决定哪些可以运行以及哪些不能。

微分段策略决定了节点、集群和主机之间可接受的流量 ,而Kube.NETes保证策略则要求必须存在(或不存在)Kubernetes配置才能允许工作负载运行。最终用户可以完全控制工作负载保护功能,也可以为了保护运行环境而提前配置。

Aqua CNDR助您瓦解 DreamBus 僵尸网络攻击

 

我们强烈建议您不要暴露一些私有服务到Internet环境,例如,PostgreSQL数据库。不过,当数据需要公开访问时,也会存在合法的用例。如果是这种情况,可以考虑使用网络防火墙并限制对数据库的访问。与其允许任何人都可以获得进站流量,不如将流量限制到特定的IP或容器。

 

Drift prevention

为了在运行时保持容器间的不变性,在镜像被实例化成为容器后,Drift prevention功能将严格禁止对镜像的修改。这一功能利用了容器属性的不可变性,在运行中的容器中识别并阻止异常行为。


关于Aqua Security

Aqua Security是全球最大的云原生安全厂商之一,总部位于以色列特拉维夫,为客户的创新以及加速数字化转型保驾护航。Aqua平台在整个应用生命周期管理中提供预防、检测和响应自动化服务,以确保供应链、云基础架构平台和运行时工作负载的安全运行。Aqua的客户是全球金融服务、软件、媒体、制造和零售领域最大的企业之一,能够在广泛的云提供商和现代技术堆栈中实施,其中包括容器、无服务器功能和云虚拟机。如需了解更多信息,欢迎关注官方微信公众号“AquaSecurity”。



Tags:网络攻击   点击:()  评论:()
声明:本站部分内容及图片来自互联网,转载是出于传递更多信息之目的,内容观点仅代表作者本人,不构成投资建议。投资者据此操作,风险自担。如有任何标注错误或版权侵犯请与我们联系,我们将及时更正、删除。
▌相关推荐
AI时代的网络安全:探索AI生成的网络攻击
译者 | 晶颜审校 | 重楼长期以来,网络攻击一直是劳动密集型的,需要经过精心策划并投入大量的人工研究。然而,随着人工智能技术的出现,威胁行为者已经成功利用它们的能力,以非凡的...【详细内容】
2024-03-27  Search: 网络攻击  点击:(17)  评论:(0)  加入收藏
“二次约会”间谍软件分析报告:网络攻击西北工业大学 美国相关人员真实身份被锁定
近日,国家计算机病毒应急处理中心和360公司对名为“二次约会”(SecondDate)的“间谍”软件进行了技术分析,该“间谍”软件针对基于FreeBSD、Linux、Sun Solaris、Juniper JunOS...【详细内容】
2023-09-14  Search: 网络攻击  点击:(303)  评论:(0)  加入收藏
新报告揭露网络攻击的残酷真相
网络攻击多久发生一次?威胁行为者多久会以世界各地的企业和政府为目标?BlackBerry® 威胁研究和情报团队最近分析了 90 天的真实数据来回答这些问题。完整结果位于最新的黑...【详细内容】
2023-09-11  Search: 网络攻击  点击:(316)  评论:(0)  加入收藏
针对应用程序的网络攻击测试
应用安全测试的重要性#电子商务应用程序安全测试对于保护与应用程序相关的每个人(包括客户、经销商和供应商)的个人和财务信息至关重要。电子商务应用程序遭受网络攻击的频率...【详细内容】
2023-09-01  Search: 网络攻击  点击:(199)  评论:(0)  加入收藏
大运会正赛期间拦截网络攻击1596万次
打赢没有“硝烟”的战争大运会正赛期间拦截网络攻击1596万次科技日报成都8月9日电 (陈科 记者何亮)9日,记者成都大运会网络安全保障工作总结交流会上获悉,刚刚闭幕的成都第31...【详细内容】
2023-08-10  Search: 网络攻击  点击:(326)  评论:(0)  加入收藏
FBI 警告:使用 AI 发动网络攻击的黑客数量正在以惊人的速度增加
IT之家 7 月 31 日消息,据 pcmag 报道,在上周五与记者的电话会议上,美国联邦调查局 FBI 就人工智能程序辅助的网络攻击泛滥发出了严厉的提醒和警告。据 FBI 称,使用 AI 技术进行...【详细内容】
2023-07-31  Search: 网络攻击  点击:(291)  评论:(0)  加入收藏
如何在网络攻击发生前保护关键基础设施
在当今不确定的地缘政治环境中,个人和企业都高度关注潜在的网络攻击,这是理所当然的。最令人担忧的是对关键基础设施和工业资产的攻击。勒索软件攻击使美国Colonial Pipeline...【详细内容】
2023-05-24  Search: 网络攻击  点击:(234)  评论:(0)  加入收藏
是什么导致了网络攻击的增加?
调研机构调查了美国500名IT安全专业人士,以了解更多有关安全信息和事件管理市场以及整体网络安全状况的信息。尽管网络安全专业人士感觉比以往任何时候都更有信心,但对是什么...【详细内容】
2023-04-24  Search: 网络攻击  点击:(292)  评论:(0)  加入收藏
如何应对 WordPress受到的网络攻击?
WordPress系统是安全的,但是依然也有可能被黑客入侵,那么当你的 WordPress网站 安装已被黑客入侵。你应该如何应对?北京六翼信息技术有限公司的开发工程师指出请不要担心,因为各...【详细内容】
2023-03-10  Search: 网络攻击  点击:(66)  评论:(0)  加入收藏
独家揭秘!这个核心成员来自欧美的组织,正对中国疯狂实施网络攻击!
[环球时报-环球网报道记者 樊巍 曹思琦]2月19日,《环球时报》记者从北京奇安盘古实验室独家获悉一份报告,该报告揭秘了一个将中国作为主要攻击目标的黑客组织AgainstTheWest(下...【详细内容】
2023-02-20  Search: 网络攻击  点击:(179)  评论:(0)  加入收藏
▌简易百科推荐
2023年最需要注意的九大安全威胁
2023年又是全球网络安全威胁形势持续严峻,在叠加了地缘政治、经济竞争的因素后,具有政府/组织背景的APT组织屡屡在网络功空间之中兴风作浪,而各种新兴技术的应用也催生了大量的...【详细内容】
2023-12-21    FreeBuf.COM  Tags:安全威胁   点击:(107)  评论:(0)  加入收藏
IP地址攻击与防范措施:维护网络安全的关键
IP地址是互联网通信的基本组成部分,然而,它也成为网络攻击的目标。本文将深入探讨IP地址可能面临的攻击方式,以及如何采取有效的防范措施来维护网络的安全。第一部分:IP地址攻击...【详细内容】
2023-12-19  IP数据云    Tags:IP地址   点击:(142)  评论:(0)  加入收藏
CSRF攻击:一种不可忽视的网络威胁
随着网络技术的飞速发展,网络安全问题日益凸显。其中,CSRF(Cross-siteRequestForgery,跨站请求伪造)攻击成为了一种常见的网络威胁,给企业和个人带来了严重的安全隐患。本文将详细...【详细内容】
2023-12-19  小青爱生活    Tags:CSRF攻击   点击:(128)  评论:(0)  加入收藏
2024年影响安全领域的五大技术趋势
即使对于我们这些在科技行业工作了几十年的人来说,过去12个月的变化速度也是惊人的。我们再次确信,技术创新不仅带来了巨大的机遇,也带来了比我们以前面临的更复杂的挑战,而且没...【详细内容】
2023-12-11    千家网  Tags:安全领域   点击:(148)  评论:(0)  加入收藏
网络安全工程师都要了解的勒索威胁新趋势
Zscaler 安全威胁实验室发布《2023 年全球勒索软件报告》中预测了未来将出现的7个勒索威胁新趋势。一、公共服务设施成为勒索软件攻击的目标增加。市政服务部门、执法部门、...【详细内容】
2023-11-16  网盾网络安全培训中心    Tags:网络安全   点击:(225)  评论:(0)  加入收藏
威胁情报趋势
威胁情报是指对各种威胁的收集、分析和推测,以便提前预防和应对威胁。随着技术的不断发展,威胁情报的趋势也在不断变化。本文将对当前的威胁情报趋势进行深入解析,并展望未来可...【详细内容】
2023-11-08  信安天途    Tags:威胁情报   点击:(210)  评论:(0)  加入收藏
如何防范生成式AI的钓鱼邮件攻击
今年ChatGPT火爆全网,近年来AI人工智能取得了长足的进步,给各行各业带来了革命性的变化。然而,与任何技术一样,总是有人试图利用它来达到恶意目的。如今,黑客正在使用一种名为Wor...【详细内容】
2023-10-26  区块软件开发  今日头条  Tags:钓鱼邮件   点击:(232)  评论:(0)  加入收藏
杭州亚运会大火背后,是网安和黑产的疯狂对抗
10月8日晚,第十九届亚运会在杭州圆满落幕,中国代表团以201枚金牌的佳绩耀居榜首,成为历届亚运会以来金牌数量首次突破200枚的国家。根据亚运会主新闻发言人毛根洪10月7日在杭州...【详细内容】
2023-10-12  互盟数据中心    Tags:网安   点击:(347)  评论:(0)  加入收藏
Web 安全之 HSTS 详解和使用
HSTS(HTTP Strict Transport Security) 是一种网络安全机制,可用于防范网络攻击,例如中间人攻击和 CSRF(Cross-Site Request Forgery)等攻击。本文将详细介绍 HSTS 的工作原理、应...【详细内容】
2023-09-27  路多辛  今日头条  Tags:HSTS   点击:(253)  评论:(0)  加入收藏
如何使用Noir从源代码检测攻击面
关于NoirNoir是一款功能强大的代码安全检测工具,在该工具的帮助下,广大研究人员能够轻松从源代码层面检测目标应用程序的潜在攻击面。功能介绍1、从源代码自动识别编程语言和...【详细内容】
2023-09-27    FreeBuf.COM  Tags:Noir   点击:(376)  评论:(0)  加入收藏
站内最新
站内热门
站内头条