トレンドマイクロは、Dockerコンテナーをホストするサーバーに侵入し分散型サービス妨害（DDoS）攻撃の実行を試みる2種類のマルウェア「XORDDoS」「Kaiji」の分析結果についてブログで報告した。
同社によると、XORDDoSはクラウド環境上のLinuxホストを標的にする。一方、Kaijiは最近に発見され、IoT機器を標的にするという。これらのマルウェアは、SSHもしくはTelnetのポートスキャンを行い、ターゲットのホストが見つかれば、ボット型マルウェアを使ってブルートフォース（総当り）攻撃を実行する。ポートスキャンで対象にするポートの1つが、Docker APIで暗号化されていない未認証通信に使われるポート2375だと判明した。
しかし、攻撃手法は異なるという。XORDDoSは、ポート2375を持つホストを検索し、Dockerのサーバーにホストされているコンテナーの一覧表示を実行するコマンドを送信する。さらに複数のコマンドを全てのコンテナーに対して実行し、対象コンテナーにXORDDoSのマルウェアに感染させ、DDoS攻撃を行う。その際にコンテナーの「CPU情報」「実行中プロセスのMD5」「メモリ情報」「ネットワーク速度」「実行中プロセスのPID」のデータを窃取する。
一方で、Kaijiもポート2375を持つホストを検索するが、ターゲットのホストを発見すると、Kaijiのバイナリーを実行する不正なARMコンテナーを展開しようとする。展開前にDockerのサーバーにpingし、スクリプト「123.sh」を実行、Kaijiのペイロード「linux_arm」によって不正なコンテナーを構築する。Kaijiは、複数種類のDDoS攻撃を行えるといい、そのために「CPU情報」「ディレクトリー」「ドメイン名」「ホストのIPアドレス」「実行中プロセスのPID」「URLのスキーム」に関するデータを窃取する。
同社は、クラウド上で容易に展開可能なコンテナーが脅威の温床になる恐れがあるとしいて、コンテナーホストやネットワーク、管理スタック、ビルドパイプラインなど後半な領域で保護を講じ、ベストプラクティスに従った対策やスキャンを行うようアドバイスしている。
