Finews
台灣最好懂得財經、科技新聞網！
帶給你最有用的新聞資訊。
最近，一則關於新型惡意軟體攻擊的消息引起了資安界的關注。你知道嗎？這個惡意軟體專門鎖定那些設定不安全的 Docker API，目的是要利用你的電腦資源來挖掘一種叫做 Dero 的隱私加密貨幣，並且偷偷建立一個龐大的 挖礦僵屍網路。這聽起來是不是有點可怕？但別擔心，這篇文章就是要像一位老師一樣，一步步帶你了解這個威脅是什麼、它是怎麼運作的，以及更重要的是，我們該如何保護自己！
在接下來的內容裡，我們將一起探索：
- 為什麼 Docker API 會成為攻擊目標？
- 這個 惡意軟體 有什麼特別的「自我傳播」能力？
- 它到底是如何入侵並控制你的系統來進行 Dero 挖礦 的？
- 過去是否也有類似的攻擊？
- 身為 Docker 使用者或對此議題感興趣的你，又該如何加強防範？
準備好了嗎？讓我們一起深入了解這個潛在的資安威脅吧！
攻擊概覽：Docker API何以成為目標？
想像一下，你的電腦或伺服器就像一棟房子，而 Docker 就像你在裡面隔出一個個獨立的小房間（我們稱為「容器」），每個房間可以安全地運行不同的應用程式。而 Docker API，你可以把它想像成一個用來管理這些房間的「控制面板」或「後門」。透過這個控制面板，你可以啟動、停止、配置或刪除任何房間。
問題來了：如果這個「控制面板」的門是打開的，而且沒有上鎖（也就是「設定不安全」），任何人從外面都可以直接操作你的房間！新型惡意軟體正是利用了這一點。
這些惡意軟體掃描整個網際網路，尋找那些不小心把 Docker API 的門開著（通常是預設的 2375 埠）的系統。一旦找到，它就像找到一個敞開的大門一樣，可以長驅直入。它的最終目標是什麼？不是偷你的個人資料（雖然潛在風險存在），而是要偷偷在你的系統裡執行 挖礦 程序，特別是挖掘 Dero 幣，進而建立一個龐大的 挖礦僵屍網路。你的電腦會被利用來幫攻擊者賺取 加密貨幣，而你可能渾然不知，只會覺得電腦變慢、資源被大量佔用。
惡意軟體構成與「蠕蟲」式傳播機制
這個新型惡意軟體最令人警惕的地方在於它具備類似「蠕蟲」的 自我傳播 能力。這不像傳統的惡意軟體，需要一個集中的「命令與控制（C2）伺服器」來發號施令。它更像是病毒或感冒，一旦進入一個系統，就會主動去尋找下一個沒有防備的目標，並嘗試感染它。
資安研究人員發現，這個惡意軟體主要由兩個核心部分組成，它們都是使用現代的 Golang 程式語言開發的，這讓它們更容易跨平台運行：
| 組件 | 描述 |
|---|---|
| 「nginx」部分： | 這個聽起來很像一個合法網路伺服器軟體的名字，但在這裡它是惡意軟體的「傳播」組件。它負責在網際網路上到處掃描，尋找那些開啟了 Docker API 預設 2375 埠的系統。一旦找到目標，它就會嘗試進入並執行下一步的攻擊。 |
| 「cloud」部分： | 這是惡意軟體的「挖礦」組件。它會在被感染的系統上執行實際的 Dero 挖礦 程序，消耗系統的 CPU 或 GPU 資源來為攻擊者賺錢。 |
由於這種「自我傳播」的特性，這個威脅一旦擴散開來，其規模可能會迅速擴大，讓更多的 Docker 實例 成為 挖礦僵屍網路 的一部分。
深入技術細節：感染、控制與持久化
這個惡意軟體是如何在找到不安全的 Docker API 後，一步步控制系統並確保自己能持續運作呢？
整個過程大致可以分解為幾個步驟：
- 偵察與入侵： 「nginx」組件掃描網際網路，尋找開啟 2375 埠的 Docker 實例。這個埠就是不安全的 Docker API 預設監聽的埠。
- 利用 API 執行指令： 惡意軟體利用不受保護的 Docker API，就像直接在你的伺服器上輸入指令一樣，它可以在你的系統上執行命令。
- 建立惡意容器與安裝工具： 它會透過 API 創建新的 容器，並在這些容器或直接在宿主機上安裝所需的輔助工具，例如用於掃描的 masscan 或是確保 Docker 功能正常的 docker.io。
- 植入挖礦程序： 惡意軟體將「cloud」挖礦組件植入系統，並啟動 Dero 挖礦 程序。
- 建立持久性： 這是確保惡意軟體在系統重啟後還能繼續運作的關鍵步驟。它可能會修改系統的啟動檔案，例如在基於 Ubuntu 的系統中，它可能修改像是
/root/.bash_aliases這樣的檔案，讓惡意程式在使用者登入或系統啟動時自動執行。
透過這些技術手段，惡意軟體不僅能成功入侵，還能在系統中根深蒂固，持續進行非法的 Dero 挖礦 活動。
攻擊的歷史關聯與目標幣種特性
你可能會問，這種針對 容器 環境的 挖礦攻擊 是新的嗎？事實上，資安公司像是 Kaspersky、CrowdStrike 和 Wiz 在過去幾年都曾記錄過針對 Docker 或 Kubernetes 這類容器平台的 Dero 挖礦活動。這次發現的新型惡意軟體，根據 Kaspersky 的觀察，似乎與過去的一些活動有所關聯，這表明攻擊者可能一直在改進他們的攻擊手法和工具。
那為什麼攻擊者偏愛 Dero 幣 呢？ Dero 是一種比較特別的 加密貨幣，它強調「隱私」。這意味著 Dero 的交易資訊，包括發送方、接收方和交易金額，不像比特幣或以太坊那樣容易被外界追蹤。對於進行非法活動（比如利用別人的電腦資源來 挖礦）的攻擊者來說，這種高度的 隱私性 讓他們更難被追蹤資金流向，也就更難被繩之以法。
風險與防範：如何保護您的Docker環境
這個新型 惡意軟體 對於擁有 Docker 實例，特別是將其暴露在網際網路上的使用者來說，構成了嚴峻的 安全風險。最直接的影響是你的系統資源（CPU、電力）會被大量消耗用於替攻擊者 挖礦，導致你的正常應用程式運行緩慢甚至崩潰。更深層的風險在於，一旦攻擊者透過不安全的 API 進入你的系統，他們理論上可以執行更多惡意的行為，可能導致資料外洩或系統被更徹底地控制。
那麼，我們該如何防範呢？ 防範措施 的核心非常明確：保護好你的 Docker API 控制面板！
以下是一些關鍵的 防範措施 建議：
- 立即檢查您的 Docker API 設定： 確定它沒有直接暴露在網際網路上。預設情況下，Docker API 不應該在公開網絡上開放，特別是沒有任何驗證措施的情況下。
- 關閉對外開放的 2375 埠： 如果您的 Docker API 正在監聽這個埠並對外開放，請立即修改配置，將其限制在只有內部網路或特定可信來源才能存取。
- 實施嚴格的存取控制： 如果必須透過網路存取 Docker API，務必設定 TLS 加密和憑證驗證，確保只有經過授權的使用者或服務才能連線。
- 定期進行安全審計： 定期檢查您的 Docker 配置和系統日誌，尋找任何異常活動的跡象。
- 保持軟體更新： 確保您的 Docker 引擎和作業系統始終更新到最新版本，修補已知的安全漏洞。
以下是額外的提醒，幫助提升你的安全防範措施：
- 使用防火牆來控制流量，確保僅允許可信的IP訪問。
- 定期備份重要資料，以防資訊遺失。
- 進行應用程式漏洞掃描，定期檢查程式碼安全。
記住，很多時候，這類攻擊利用的是最基本的配置錯誤。只要我們提高了警覺，做好基礎的安全設定，就能大大降低成為受害者的風險。
總結來說，這個鎖定不安全 Docker API、挖掘 Dero 幣 的新型 惡意軟體 再次提醒我們，在擁抱像 容器 這樣便利的技術時，絕對不能忽視基礎的 安全配置。它的「蠕蟲」式 自我傳播 能力使得潛在的威脅擴散速度更快。保護你的 Docker 環境 不被用於非法的 挖礦活動，甚至是更嚴重的攻擊，第一步就是確保你的 Docker API 是安全的，不對外網開放。花點時間檢查和加固你的設定吧，這絕對是值得的投資！
【免責聲明】本文旨在提供資訊和教育，不構成任何形式的投資建議。加密貨幣市場波動性高，投資有風險，應謹慎考慮並諮詢專業財務顧問意見。
常見問題（FAQ）
Q：什麼是 Docker API？
A：Docker API 是用來管理 Docker 容器、影像和其他資源的介面。
Q：如何檢查我的 Docker API 是安全的？
A：你可以檢查是否有不必要的端口開放，並確保設置了適當的存取控制和認證。
Q：Dero 幣有什麼特點？
A：Dero 幣是一種強調隱私的加密貨幣，其交易難以被外界追蹤，使其成為進行非法活動的首選。
