17 images Docker corrompues supprimées du hub

Docker, Inc.

Il a maintenant été confirmé que l'équipe de Docker devait extraire 17 images de conteneurs différentes dans lesquelles des portes dérobées dangereuses étaient stockées. Ces portes dérobées avaient été utilisées pour installer des éléments tels que des logiciels d'exploration de crypto-monnaie piratés et des coquilles inversées sur des serveurs pendant environ l'année dernière. Les nouvelles images Docker ne sont soumises à aucun processus d'audit de sécurité, elles ont donc été répertoriées sur le Docker Hub dès leur publication en mai 2017.

Tous les fichiers image ont été téléchargés par un seul individu ou groupe opérant sous le pseudo de docker123321, qui est lié à un registre qui a été purgé le 10 mai de cette année. Quelques paquets ont été installés plus d'un million de fois, bien que cela ne signifie pas nécessairement qu'ils avaient en fait infecté autant de machines. Toutes les portes dérobées n'ont peut-être jamais été activées et les utilisateurs peuvent les avoir installées plus d'une fois ou les avoir placées sur différents types de serveurs virtualisés.

Docker et Kubernetes, qui est une application de gestion de déploiements d'images Docker à grande échelle, ont commencé à afficher des activités irrégulières dès septembre 2017, mais les images n'ont été extraites que relativement récemment. Les utilisateurs ont signalé des événements inhabituels sur les serveurs cloud et des rapports ont été publiés sur GitHub ainsi que sur une page de réseau social populaire.

Les experts en sécurité Linux affirment que dans la majorité des cas où les attaques ont effectivement réussi, ceux qui ont mené ces attaques utilisaient les fichiers image contaminés pour lancer une forme de logiciel XMRig sur des serveurs victimes afin d'extraire des pièces Monero. Cela a donné aux attaquants la possibilité d'extraire plus de 90000 dollars de Monero en fonction des taux de change actuels.

Certains serveurs au 15 juin pourraient encore être compromis. Même si les images contaminées avaient été supprimées, les attaquants auraient peut-être obtenu d'autres moyens pour manipuler un serveur. Certains experts en sécurité ont recommandé de nettoyer les serveurs et ils sont allés jusqu'à insinuer que l'extraction d'images de DockerHub sans savoir ce qu'elles contiennent pourrait être une pratique dangereuse pour l'avenir.

Cependant, ceux qui n'ont déployé que des images maison dans des environnements Docker et Kubernetes ne sont pas affectés. Il en va de même pour ceux qui n'ont jamais utilisé que des images certifiées.