기술 지원
문서
로그인
문의하기
이 블로그 글의 AI 요약으로 바로 가기 
최근 도커 서비스는 악용을 통해 수익을 창출할 혁신적인 방법을 찾는 악의적인 공격자들의 중심지가 되고 있습니다. 최근 클라우드 보안 회사 Cado가 발견한 새로운 도커 멀웨어 캠페인은 XMRig 암호화폐 채 굴기와 9Hits Viewer 소프트웨어를 활용하는 두 가지 접근 방식을 사용합니다. 이는 공격자들이 사용하는 전술에 중대한 변화를 의미하며, 전략을 다각화하고 손상된 호스트를 활용하려는 공격자들의 지속적인 노력을 보여줍니다.
9멀웨어 페이로드로 뷰어 히트
이 캠페인에서 눈에 띄는 점은 9Hits 애플리케이션을 페이로드로 배포한다는 점입니다. '독특한 웹 트래픽 솔루션'으로 선전되는 9Hits는 '자동 트래픽 교환'을 통해 회원들이 헤드리스 크롬 브라우저 인스턴스를 통해 크레딧을 획득하여 웹사이트 트래픽을 늘릴 수 있는 '9Hits 뷰어'라는 적절한 이름을 가진 애플리케이션입니다. 이러한 발전은 손상된 시스템을 악용할 수 있는 새로운 방법을 항상 찾고 있는 위협 공격자들의 적응력을 강조합니다.
취약한 Docker 호스트로 멀웨어를 확산시키는 정확한 방법은 아직 밝혀지지 않았지만, 잠재적 표적을 식별하기 위해 Shodan과 같은 검색 엔진을 활용하는 것으로 의심됩니다. 일단 식별되면 서버를 침해하여 Docker API를 통해 두 개의 악성 컨테이너를 배포하는데, 이는 Linux 멀웨어 공격에서 자주 사용되는 기법으로, 9Hits 및 XMRig 소프트웨어용 Docker Hub 라이브러리의 기성 이미지를 활용합니다.
도커 멀웨어 공격 벡터
위협 행위자는 사용자 지정 이미지를 선택하는 대신 일반 도커 허브 이미지를 활용하는데, 이는 도커 표적 캠페인의 일반적인 전술입니다. 이 기법은 공격자가 일반 사진에 액세스하여 공격자의 목적에 맞게 활용할 수 있도록 보장합니다. 방문할 웹사이트 목록을 추출하고 세션 토큰을 사용하여 9Hits로 인증하면 9Hits 컨테이너가 코드를 실행하여 크레딧을 생성합니다. 동시에 다른 컨테이너에 상주하는 XMRig 마이너는 개인 마이닝 풀에 연결하여 캠페인의 규모와 수익성을 모호하게 만듭니다.
손상된 Docker 호스트에 미치는 영향
손상된 호스트의 경우 이 캠페인은 광범위한 영향을 미칩니다. 리소스 고갈이 주요 관심사이며, XMRig 채굴자가 사용 가능한 CPU 리소스를 독점하고 9Hits가 상당한 대역폭과 메모리를 소비합니다. 손상된 서버에서는 정상적인 워크로드에 성능 문제가 발생하여 정상적인 운영을 방해합니다. 또한, 캠페인이 시스템에 원격 셸을 남기도록 진화하여 무단 액세스의 위험을 증폭시킬 수 있으므로 더 심각한 침해가 발생할 가능성도 있습니다.
앞서 설명한 도커 멀웨어 캠페인과 같이 진화하는 위협으로부터 도커 환경을 보호하는 것이 가장 중요합니다. 위협 행위자가 계속해서 전술을 조정하고 다양화함에 따라 최신 정보를 파악하고 강력한 보안 조치를 구현하는 것이 중요합니다. 조직은 경계를 늦추지 말고 정기적으로 시스템을 업데이트 및 패치하고 보안 모범 사례를 적용하여 새로운 위협에 대비하여 Docker 환경을 강화해야 합니다.
이 글의 출처는 TheHackerNews의 기사입니다.
