Украинские Киберактивисты Использовали Скомпрометированные Docker Honeypots Для Антироссийских Dos-Атак News
02.11.2023
Cisco acquires Splunk, but how do you convince Splunk customers that Cisco has advantages
01.11.2023
CrowdStrike provides 100% coverage according to the MITRE Engenuity ATT&CK® Evaluations: round 5
31.10.2023
Top 20 Shocking Data Breach Statistics for 2023
06.09.2023
Adversaries Can “Log In with Microsoft” through the nOAuth Azure Active Directory Vulnerability
06.09.2023
iIT Distribution is the official distributor of LogRhythm!
31.08.2023
Instant replication with NAKIVO Backup & Replication v10.10 Beta
03.08.2023
Effective communication: Email vs. Instant Messaging?
25.07.2023
Infinidat Expands Support for Hybrid Cloud Storage Deployments with InfuzeOS Cloud Edition
14.07.2023
Falcon Insight for ChromeOS: The Industry’s First Native XDR Offering for ChromeOS
03.06.2023
Opening new horizons: iIT Distribution is the official distributor of Gatewatcher
13.05.2023
Another revolution in cybersecurity from CrowdStrike: top 5 important things to know about Managed XDR (MXDR)
09.05.2023
GTB Technologies is the best solution in the DLP industry
04.04.2023
CrowdStrike Falcon Platform Detects and Prevents Active Intrusion Campaign Targeting 3CXDesktopApp Customers
24.03.2023
Labyrinth Deception Platform v2.0.51: Release notes
23.03.2023
SIEM vs Log Management Systems: What you need to know before choosing
15.03.2023
CrowdStrike Falcon Named the Winner of the 2022 AV-TEST Award for Best MacOS Security Product
10.03.2023
CrowdStrike 2023 Global Threat Report: Resilient Businesses Fight Relentless Adversaries
10.03.2023
Threema Work App Update: Encrypted Group Calls Are Now Available on Android Devices
28.02.2023
CrowdStrike Ranked #1 in the IDC Worldwide Endpoint Security Market Shares Report for Third Time in a Row
21.02.2023
Picus Red Report 2023: The Top 10 Most Prevalent MITRE ATT&CK Techniques Used by Attackers
14.02.2023
On leadership in the sphere of high-end unified storage: An exclusive interview with Phil Bullinger, CEO of Infinidat
11.02.2023
Securing PostgreSQL from Cryptojacking Campaigns in Kubernetes
30.01.2023
What's New in NAKIVO Backup & Replication v10.8: Release Overview
16.01.2023
Success Story: Georgian Bank Achieves 100% Backup Success Rate with NAKIVO
12.01.2023
CrowdStrike Named a Leader in Frost & Sullivan’s 2022 Frost Radar for Cyber Threat Intelligence
12.12.2022
DDoS Attack Prevention and DDoS Protection Best Practices
21.11.2022
How Hackers Can Bypass Multi-Factor Authentication
08.11.2022
CrowdStrike Achieves Red Hat OpenShift Certification: Streamlining Visibility and Automating Protection for OpenShift
03.11.2022
Infinidat Recognized as a Leader in Gartner Magic Quadrant for Primary Storage – 5th Year in a Row
19.10.2022
New version of NetBrain Release 11: the key to reducing the cost of NetOps
13.10.2022
With security revenue surging, CrowdStrike wants to be a broader enterprise IT player
05.10.2022
CrowdStrike Announced the Acquisition of Reposify to Bolster Visibility and Reduce Risk Exposure of External Assets
22.09.2022
Kubernetes против Docker: в чем между ними разница?
16.09.2022
Infinidat расширяет функции NVMe/TCP для сред VMware
15.09.2022
Новые возможности InfiniBox от Infinidat: vVols репликация для VMware сред
02.09.2022
Индикаторы атак на основе искусственного интеллекта позволяют максимально быстро прогнозировать и останавливать угрозы
03.08.2022
Истории с Dark Web: Отслеживание подпольной экономики eCrime улучшает эффективность киберзащиты
22.07.2022
Развитие ботнетов и DDoS-атак
15.07.2022
Lookout обнаружила шпионское ПО для Android, развернутое в Казахстане
11.07.2022
Выявление и смягчение атак NTLM-ретрансляции, нацеленных на контроллеры домена Microsoft
20.06.2022
Что такое демократизация данных?
07.06.2022
Неизменные резервные копии: что вам нужно знать, чтобы защитить свои данные
22.05.2022
Украинские Киберактивисты Использовали Скомпрометированные Docker Honeypots Для Антироссийских Dos-Атак
06.05.2022
ЧТО НОВОГО В LABYRINTH DECEPTION PLATFORM: РЕЛИЗ 2.0.32
22.04.2022
PALO ALTO NETWORKS проинформировала об уязвимостях, которые могут разрешить злоумышленникам отключить платформу CORTEX XDR
15.04.2022
INSPUR ВТОРОЙ ГОД ПОДРЯД СТАНОВИТСЯ ОБРАЗЦОВЫМ ПОСТАВЩИКОМ CLOUD-OPTIMIZED ОБОРУДОВАНИЯ ПО ВЕРСИИ GARTNER HYPE CYCLE
08.10.2020
Intelligent IT Distribution взяла участь у Третьому щорічному Міжнародному Форумі «Кібербезпека - Захистимо Бізнес, Захистимо Держава»
29.09.2020
iITD - партнер форуму “Кібербезпека - захистимо бізнес, захистимо державу” 2020
24.09.2020
Компанія IIT Distribution отримала статус дистриб’ютора рішень NetBrain Technologies на території України
28.08.2020
Fal.Con 2020 від CrowdStrike
25.08.2020
Дотримання норм страхування кіберризиків
25.08.2020
Автоматично блокуйте скомпрометовані облікові записи з Lepide Active Directory Self Service 20.1
25.08.2020
Компанія Cossack Labs запрошує відвідати NoNameCon
22.07.2020
Підписання дистриб’юторської угоди з компанією Safe-T
21.07.2020
Міжнародна конференція: "Online Banking - Час інновацій!"
18.06.2020
Глобальний звіт про кіберзагрози 2020
11.06.2020
Четвер, 25 червня 2020 року. Не пропустіть!
05.05.2020
Анонс: нова версія Acra Enterprise забезпечує підвищену гнучкість для високонавантажених систем
13.04.2020
Lepide Remote Worker Monitoring Pack - легка платформа безпеки, яка гарантує негайний захист даних бізнесу протягом непередбаченого періоду віддаленої роботи.
12.04.2020
Забезпечення кібербезпеки для віддалених користувачів
08.04.2020
Labyrinth Technologies пропонує скористатися спеціальною пропозицією - ліцензія на 12 місяців за ціною 6 місяців.
07.04.2020
«CrowdStrike: дистанційна робота та ІТ-безпеку за часів кризи - скорочена ліцензійна програма на 3-6 місяців».
23.03.2020
Компанія iIT Distribution отримала статус дистриб’ютора рішень RedSeal Networks на території України.
23.03.2020
Компанія iIT Distribution отримала статус дистриб’ютора рішень Lepide на території України.
16.03.2020
Компанія iIT Distribution починає дистрибуцію рішень CrowdStrike на території України.
19.02.2020
20 лютого у Києві відбудеться щорічна конференція CISO DX DAY 2020
18.02.2020
Компанія iIT Distribution отримала статус дистриб’ютора рішень Instana на території України.
17.02.2020
Exabeam Security Intelligence Platform допомагає
Украинские организации неоднократно становились жертвами кибератак, спонсируемых россией. В начале 2022 года против ряда государственных органов был развернут набор вредоносных программ под названием WhisperGate. 23 февраля этого же года над Украиной нависла новая угроза типа Wiper под названием DriveSlayer, которая маскировалась под программу-вымогателя PartyTicket. Но подобные действия со стороны злоумышленников не могли остаться без ответа.
В период с 27 февраля по 1 марта 2022 года некоторые honeypots Docker Engine были скомпрометированы для запуска двух образов Docker, нацеленных на российские и белорусские вебсайты в рамках denial-of-service (DoS) атаки. Целевые списки обоих образов Docker частично совпадают с доменами, которые, как сообщается, использует поддерживаемое правительством Украинская ІТ-армия (УІА). Ранее УІА призвала своих участников осуществлять distributed denial-of-service (DDoS) атаки против российских целей. Однако существует риск ответных атак со стороны российских субъектов и такие атаки могут быть направлены против организаций, которые привлекаются для непреднамеренных атак на правительственные, военные и гражданские вебсайты.
Первоочередная компрометация с использованием открытого Docker Engine
Honeypot был скомпрометирован через открытый API Docker Engine. Такой метод обычно используется в оппортунистических кампаниях (LemonDuck или WatchDog) для поражения неправильно настроенных контейнерных систем.
Технический анализ
Первый обнаруженный образ Docker под названием abagayev/stop-russia был размещен на Docker Hub. Этот образ был загружен более 100 000 раз, но CrowdStrike Intelligence не может оценить, какая часть загрузок была осуществлена через скомпрометированные среды. Образ Docker содержит инструмент сравнительного анализа HTTP на основе Go под названием bombardier с хэшем SHA256.
6d38fda9cf27fddd45111d80c237b86f87cf9d350c795363ee016bb030bb3453
который использует HTTP-запросы для стресс тестирования вебсайта. В описанном случае этот механизм был использован в качестве инструмента DoS, который автоматически запускается при создании нового контейнера на основе образа Docker. После запуска подпрограмма выбора цели выбирает случайную запись из фиксированного списка целей. Более поздние версии этого образа Docker альтернативно могут выбрать одну из первых 24 записей целевого списка в зависимости от времени суток.
Рисунок 1. Выписка из списка целевых веб-сайтов
Установленный образец был обновлен только раз – 1 марта 2022 года. Разница между двумя версиями этого образца заключается в расширении списка целей. Обновленный целевой список содержит российские сайты, принадлежащие секторам: правительственному, военному, медиа, финансовому, энергетическому, розничной торговли, горнодобывающему, обрабатывающему, химической промышленности, производственному, технологическому, рекламному, сельскохозяйственному, транспортному и политическому. Также 1 марта 2022 к списку были добавлены белорусские вебсайты СМИ, розничной торговли, государственного и военного секторов. CrowdStrike Intelligence оценивает деятельность по развертыванию этого образа Docker, по всей вероятности, автоматизированного на основании тесного пересечения временных рамок и взаимодействия с API Docker. Эта оценка сделана с умеренной уверенностью на основе трех отдельных инцидентов с аналогичными временными рамками.
Другой образ Docker называется erikmnkl/stoppropaganda. Этот образ был загружен из Docker Hub свыше 50 000 раз. Опять же доля загрузок из скомпрометированных машин неизвестна. Образ содержит специальную DoS-программу на основе Go под названием stoppropaganda, имеющую такой хэш SHA256
3f954dd92c4d0bc682bd8f478eb04331f67cd750e8675fc8c417f962cc0fb31f
который посылает HTTP GET-запросы в целевые вебсайты, что приводит к перегрузке этих ресурсов. Атака была сосредоточена на российских и белорусских сайтах в таких же секторах: правительственный, военный, энергетический, горнодобывающий, розничная торговля, СМИ и финансы. Кроме того, жертвами нападения стали три литовских медиа.
Рисунок 2. Выписка из списка целевых вебсайтов
Обнаружение CrowdStrike
Платформа CrowdStrike Falcon защищает своих клиентов от любой эксплуатационной деятельности. На рисунке 3 показано, как с помощью облачной модели машинного обучения Falcon прекращается вредный процесс DoS из образа. erikmnkl/stoppropaganda (контейнер Docker запущен на хосте с установленным Falcon Sensor для Linux).
Рисунок 3. Облачная модель машинного обучения CrowdStrike останавливает вредоносный процесс.
Оценка
Оба целевых списка образов Docker совпадают с доменами, которые, как сообщается, распространяет поддерживаемая правительством Украины УИА. Организация призвала своих членов совершать DDoS-атаки на российские цели. CrowdStrike Intelligence считает, что эти киберактивисты почти наверняка скомпрометировали honeypots для поддержки проукраинских DDoS-атак.
Индикаторы компрометации (МОК)
| Название образа | Дайджест образов |
|---|---|
| abagayev/stop-russia | af39263fe21815e776842c220e010433f48647f850288b5fe749db3d7783bcb0 |
| abagayev/stop-russia | f190731012d3766c05ef8153309602dea29c93be596dcde506e3047e9ded5eae |
| erikmnkl/stoppropaganda | aacbb56f72616bbb82720cb897b6a07168a3a021dd524782ee759bbec3439fda |
| Название файла | Хэш SHA256 |
|---|---|
| bombardier | 6d38fda9cf27fddd45111d80c237b86f87cf9d350c795363ee016bb030bb3453 |
| stoppropaganda | 3f954dd92c4d0bc682bd8f478eb04331f67cd750e8675fc8c417f962cc0fb |
Snort
Следующее правило Snort можно использовать для обнаружения HTTP-запросов, отправленных erikmnkl/stoppropaganda:
alert tcp $HOME_NET any -> $EXTERNAL_NET $HTTP_PORTS (msg: "Detects DoS HTTP request sent by erikmnkl/stoppropaganda tool"; flow:to_server, established; content:"Mozilla/5.0 (Windows NT 10.0|3B| Win64|3B| x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/98.0.4758.102 Safari/537.36"; http_header; content:"GET"; http_method; classtype:trojan-activity; metadata:service http; sid:8001951; rev:20220420;)
iIT Distribution – официальный дистрибьютор решений компании CrowdStrike на территории Украины, Казахстана, Грузии и Узбекистана. В это непростое время настоятельно рекомендуем позаботиться о надежной кибербезопасности. А мы поможем в подборе оптимального решения защиты и обеспечим сопровождение на всех этапах его внедрения.
Back
Russian 
English