編集部からのお知らせ
記事まとめPDF「日本のスタートアップ」
お勧め記事まとめPDF「マイクロサービス」

Dockerのサーバーを狙うマルウェア2種を確認--トレンドマイクロ

ZDNet Japan Staff

2020-08-24 12:00

 トレンドマイクロは、Dockerコンテナーをホストするサーバーに侵入し分散型サービス妨害(DDoS)攻撃の実行を試みる2種類のマルウェア「XORDDoS」「Kaiji」の分析結果についてブログで報告した

 同社によると、XORDDoSはクラウド環境上のLinuxホストを標的にする。一方、Kaijiは最近に発見され、IoT機器を標的にするという。これらのマルウェアは、SSHもしくはTelnetのポートスキャンを行い、ターゲットのホストが見つかれば、ボット型マルウェアを使ってブルートフォース(総当り)攻撃を実行する。ポートスキャンで対象にするポートの1つが、Docker APIで暗号化されていない未認証通信に使われるポート2375だと判明した。

 しかし、攻撃手法は異なるという。XORDDoSは、ポート2375を持つホストを検索し、Dockerのサーバーにホストされているコンテナーの一覧表示を実行するコマンドを送信する。さらに複数のコマンドを全てのコンテナーに対して実行し、対象コンテナーにXORDDoSのマルウェアに感染させ、DDoS攻撃を行う。その際にコンテナーの「CPU情報」「実行中プロセスのMD5」「メモリ情報」「ネットワーク速度」「実行中プロセスのPID」のデータを窃取する。

 一方で、Kaijiもポート2375を持つホストを検索するが、ターゲットのホストを発見すると、Kaijiのバイナリーを実行する不正なARMコンテナーを展開しようとする。展開前にDockerのサーバーにpingし、スクリプト「123.sh」を実行、Kaijiのペイロード「linux_arm」によって不正なコンテナーを構築する。Kaijiは、複数種類のDDoS攻撃を行えるといい、そのために「CPU情報」「ディレクトリー」「ドメイン名」「ホストのIPアドレス」「実行中プロセスのPID」「URLのスキーム」に関するデータを窃取する。

 同社は、クラウド上で容易に展開可能なコンテナーが脅威の温床になる恐れがあるとしいて、コンテナーホストやネットワーク、管理スタック、ビルドパイプラインなど後半な領域で保護を講じ、ベストプラクティスに従った対策やスキャンを行うようアドバイスしている。

ZDNet Japan 記事を毎朝メールでまとめ読み(登録無料)

NEWSLETTERS

エンタープライズ・コンピューティングの最前線を配信

ZDNet Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]