Hacker verbreiten Krypto-Miner über Container-Umgebungen

Sicherheitsforscher von Kaspersky haben eine ihrer Einschätzung nach ausgeklügelte Cyberangriffskampagne entdeckt, die auf containerisierte Umgebungen abzielt. Die Angreifer nehmen unsicher veröffentlichte Docker-APIs ins Visier, um sie zu kompromittieren und den Kryptowährungs-Miner Dero einzuschleusen.

Die Kaspersky-Experten entdeckten diese schädliche Kampagne im Rahmen eines Kompromittierungsbewertungsprojektes. Demnach kann jedes Unternehmen, das containerisierte Infrastruktur betreibt und Docker-APIs ohne robuste Sicherheitskontrollen exponiert, ein potenzielles Ziel sein. Dazu gehören Technologieunternehmen, Softwareentwicklungsfirmen, Hosting-Anbieter, Cloud-Service-Anbieter und weitere Unternehmen.

Im vorliegenden Fall wurden die unsicheren Docker-APIs genutzt, um bestehende Container zu kompromittieren oder neue schädliche Container basierend auf einem legitimen Standard-Ubuntu-Image zu erstellen. In die von ihnen kontrollierten Container injizierten die Hacker neben dem Krypto-Miner Dero auch eine Schadsoftware, um die Persistenz und Ausführung des Miners sicherzustellen.

Darüber hinaus soll die zweite Malware in der Lage sein, nach anderen exponierten Umgebungen zu suchen. Das wiederum erlaubt den Angreifern, ohne herkömmliche Befehlsserver zu agieren. Stattdessen scanne jeder infizierte Container unabhängig das Internet und könne den Miner auf neue Ziele verteilen.

Die Forscher verweisen zudem auf Zahlen der Geräte-Suchmaschine Shodan, wonach im Jahr 2025 weltweit durchschnittlich 485 Docker-API-Standardports pro Monat veröffentlicht werden. Dies veranschauliche die potenzielle Angriffsfläche der Kampagne. China verzeichne mit durchschnittlich 138 Veröffentlichungen die höchste durchschnittliche monatliche Anzahl – gefolgt von Deutschland (97), den USA (58), Brasilien (16) und Singapur (13).

„Die Kampagne hat das Potenzial für ein exponentielles Wachstum der Infektionen. Jeder kompromittierte Container fungiert als neue Angriffsquelle, sofern in den potenziell betroffenen Netzwerken nicht umgehend Sicherheitsmaßnahmen ergriffen werden“ sagte Amged Wageh, Experte für Incident Response bei Kaspersky. „Container sind grundlegend für Softwareentwicklung, -bereitstellung und -skalierbarkeit. Ihre weit verbreitete Verwendung in Cloud-nativen Umgebungen, DevOps und Microservices-Architekturen macht sie zu einem attraktiven Ziel für Cyberkriminelle.“