Новая Волна Криптоджекинга на Kubernetes Кластерах
💻 Исследователи по кибербезопасности сообщили о продолжающейся кампании криптоджекинга, нацеленной на неправильно настроенные Kubernetes кластеры для майнинга криптовалюты Dero.
🔍 По данным компании Wiz, последняя атака — обновленная версия операции, впервые зафиксированной CrowdStrike в марте 2023 года. Злоумышленники используют анонимный доступ к публичным кластерам для запуска вредоносных контейнеров с Docker Hub, включая более 10,000 загрузок.
⚠️ Новый вариант атаки использует DaemonSets с названиями "k8s-device-plugin" и "pytorch-container" для запуска майнера на всех узлах кластера, маскируя контейнер под имя "pause".
🛡️ Майнер написан на Go и упакован с помощью UPX, что затрудняет его анализ и обнаружение. Он включает в себя "зашитый" адрес кошелька и URL-адреса майнинг-пула.
🔧 Также обнаружены дополнительные инструменты, используемые атакующими, такие как UPX-упакованный майнер для Windows и shell-скрипт для устранения конкурирующих майнеров на зараженном хосте.
🌐 Атакующие регистрируют домены с безобидными именами, чтобы не вызывать подозрений и скрывать коммуникации с известными майнинг-пулами.
Stay secure and read SecureTechTalks 📚
#кибербезопасность #Kubernetes #криптоджекинг #Docker #Dero
💻 Исследователи по кибербезопасности сообщили о продолжающейся кампании криптоджекинга, нацеленной на неправильно настроенные Kubernetes кластеры для майнинга криптовалюты Dero.
🔍 По данным компании Wiz, последняя атака — обновленная версия операции, впервые зафиксированной CrowdStrike в марте 2023 года. Злоумышленники используют анонимный доступ к публичным кластерам для запуска вредоносных контейнеров с Docker Hub, включая более 10,000 загрузок.
⚠️ Новый вариант атаки использует DaemonSets с названиями "k8s-device-plugin" и "pytorch-container" для запуска майнера на всех узлах кластера, маскируя контейнер под имя "pause".
🛡️ Майнер написан на Go и упакован с помощью UPX, что затрудняет его анализ и обнаружение. Он включает в себя "зашитый" адрес кошелька и URL-адреса майнинг-пула.
🔧 Также обнаружены дополнительные инструменты, используемые атакующими, такие как UPX-упакованный майнер для Windows и shell-скрипт для устранения конкурирующих майнеров на зараженном хосте.
🌐 Атакующие регистрируют домены с безобидными именами, чтобы не вызывать подозрений и скрывать коммуникации с известными майнинг-пулами.
Stay secure and read SecureTechTalks 📚
#кибербезопасность #Kubernetes #криптоджекинг #Docker #Dero
🚨 Критическая уязвимость в Docker Engine: риск полного захвата системы
Недавно была обнаружена критическая уязвимость в Docker Engine, позволяющая злоумышленникам выйти за пределы контейнера и получить доступ к файловой системе хоста. Уязвимость CVE-2024-21626 связана с утечкой файловых дескрипторов в
🛠️ Как работает уязвимость
Атака заключается в том, что процесс в контейнере может изменить текущий каталог на каталог хоста и получить доступ к его файловой системе. При этом злоумышленник может достичь полномочий root-пользователя, что позволит ему выполнить произвольные команды на хосте. Данная уязвимость особенно опасна, так как может быть использована при выполнении или создании контейнера из уязвимого образа.
🛡️ Меры по устранению
1. Обновление программного обеспечения: Патчи для
2. Использование доверенных образов: Чтобы минимизировать риск, рекомендуется использовать только доверенные Docker-образы и избегать сборки из недоверенных источников.
3. Мониторинг и анализ: Использование инструментов для мониторинга и анализа контейнеров, таких как eBPF, поможет выявлять попытки эксплуатации этой уязвимости в реальном времени. Snyk разработал инструменты для статического и динамического анализа, которые помогают обнаруживать попытки эксплуатации уязвимости в Dockerfile.
🔍 Заключение
CVE-2024-21626 представляет серьезную угрозу для контейнерных сред, особенно если контейнеры запускаются из недоверенных источников. Рекомендуется немедленно обновить уязвимые компоненты и следовать лучшим практикам безопасности для предотвращения эксплуатации этой уязвимости.
Stay secure and read SecureTechTalks 📚
#Docker #Кибербезопасность #Уязвимости #SecureTechTalks #CVE2024
Недавно была обнаружена критическая уязвимость в Docker Engine, позволяющая злоумышленникам выйти за пределы контейнера и получить доступ к файловой системе хоста. Уязвимость CVE-2024-21626 связана с утечкой файловых дескрипторов в
runc.🛠️ Как работает уязвимость
Атака заключается в том, что процесс в контейнере может изменить текущий каталог на каталог хоста и получить доступ к его файловой системе. При этом злоумышленник может достичь полномочий root-пользователя, что позволит ему выполнить произвольные команды на хосте. Данная уязвимость особенно опасна, так как может быть использована при выполнении или создании контейнера из уязвимого образа.
🛡️ Меры по устранению
1. Обновление программного обеспечения: Патчи для
runc версии 1.1.12 и выше уже доступны. Docker выпустил обновления для Docker Engine, BuildKit и Moby, которые устраняют эту уязвимость. Обновления для Docker Desktop также доступны и рекомендуются для немедленного применения.2. Использование доверенных образов: Чтобы минимизировать риск, рекомендуется использовать только доверенные Docker-образы и избегать сборки из недоверенных источников.
3. Мониторинг и анализ: Использование инструментов для мониторинга и анализа контейнеров, таких как eBPF, поможет выявлять попытки эксплуатации этой уязвимости в реальном времени. Snyk разработал инструменты для статического и динамического анализа, которые помогают обнаруживать попытки эксплуатации уязвимости в Dockerfile.
🔍 Заключение
CVE-2024-21626 представляет серьезную угрозу для контейнерных сред, особенно если контейнеры запускаются из недоверенных источников. Рекомендуется немедленно обновить уязвимые компоненты и следовать лучшим практикам безопасности для предотвращения эксплуатации этой уязвимости.
Stay secure and read SecureTechTalks 📚
#Docker #Кибербезопасность #Уязвимости #SecureTechTalks #CVE2024
🛡️DockerSpy: Защита от утечек данных в Docker Hub 🐳
DockerSpy — инструмент с открытым исходным кодом, разработанный для поиска конфиденциальной информации в образах на Docker Hub. Он помогает выявлять чувствительные данные, которые могут случайно оказаться в общедоступных контейнерных образах.
📉 Продукт решает проблему утечек данных, связанных с публикацией секретов в Docker-образах. Многие разработчики, часто неосознанно, выкладывают на Docker Hub образы, содержащие критические данные — API-ключи, пароли и другие секреты. DockerSpy автоматизирует процесс получения и анализа этих образов, снижая риски и помогая обеспечить безопасность.
⚙️ Инструмент интегрируется с Docker Hub, автоматически загружая и анализируя образы без необходимости ручной загрузки. Движок сканирования настроен на выявление широкого спектра секретов, от захардкоженных учетных данных до более сложных паттернов, скрытых в коде. DockerSpy также предоставляет детализированные отчеты, помогая быстро реагировать на выявленные риски.
🔍 Зачем использовать OSINT на Docker Hub?
- Аудиты безопасности: Помогает выявить случайно включенные секреты, такие как API-ключи и токены аутентификации.
- Предотвращение инцидентов: Поиск утечек данных до их публикации позволяет избежать нарушений безопасности.
- Соответствие стандартам: Проверка на отсутствие секретов помогает соответствовать нормативным требованиям.
- Оценка уязвимостей: Регулярное выявление утечек секретов позволяет оперативно устранять уязвимости.
- Укрепление безопасности: Постоянный мониторинг Docker Hub способствует повышению общей безопасности.
🚀 Планы по развитию DockerSpy
В следующих версиях планируется интеграция моделей машинного обучения для улучшения обнаружения секретов, даже если они замаскированы или зашифрованы. Также будет добавлена возможность сканирования приватных репозиториев Docker и интеграция с CI/CD конвейерами, чтобы автоматизировать сканирование в процессе сборки и предотвратить попадание секретов в продакшн.
🔗 Ссылка на GitHub.
Stay secure and read SecureTechTalks 📚
#Кибербезопасность #Docker #OSINT #DockerSpy #SecureTechTalks
DockerSpy — инструмент с открытым исходным кодом, разработанный для поиска конфиденциальной информации в образах на Docker Hub. Он помогает выявлять чувствительные данные, которые могут случайно оказаться в общедоступных контейнерных образах.
📉 Продукт решает проблему утечек данных, связанных с публикацией секретов в Docker-образах. Многие разработчики, часто неосознанно, выкладывают на Docker Hub образы, содержащие критические данные — API-ключи, пароли и другие секреты. DockerSpy автоматизирует процесс получения и анализа этих образов, снижая риски и помогая обеспечить безопасность.
⚙️ Инструмент интегрируется с Docker Hub, автоматически загружая и анализируя образы без необходимости ручной загрузки. Движок сканирования настроен на выявление широкого спектра секретов, от захардкоженных учетных данных до более сложных паттернов, скрытых в коде. DockerSpy также предоставляет детализированные отчеты, помогая быстро реагировать на выявленные риски.
🔍 Зачем использовать OSINT на Docker Hub?
- Аудиты безопасности: Помогает выявить случайно включенные секреты, такие как API-ключи и токены аутентификации.
- Предотвращение инцидентов: Поиск утечек данных до их публикации позволяет избежать нарушений безопасности.
- Соответствие стандартам: Проверка на отсутствие секретов помогает соответствовать нормативным требованиям.
- Оценка уязвимостей: Регулярное выявление утечек секретов позволяет оперативно устранять уязвимости.
- Укрепление безопасности: Постоянный мониторинг Docker Hub способствует повышению общей безопасности.
🚀 Планы по развитию DockerSpy
В следующих версиях планируется интеграция моделей машинного обучения для улучшения обнаружения секретов, даже если они замаскированы или зашифрованы. Также будет добавлена возможность сканирования приватных репозиториев Docker и интеграция с CI/CD конвейерами, чтобы автоматизировать сканирование в процессе сборки и предотвратить попадание секретов в продакшн.
🔗 Ссылка на GitHub.
Stay secure and read SecureTechTalks 📚
#Кибербезопасность #Docker #OSINT #DockerSpy #SecureTechTalks
👍1
🧩 Cervantes: единая платформа для управления пентестами и уязвимостями
Cervantes — open-source платформа, созданная для упрощения и стандартизации всех этапов работы специалистов ИБ: от постановки задач до генерации итоговых отчётов.
🤝 Совместная работа и прозрачность
Решение спроектировано как инструмент командной работы, где каждый участник — от пентестера до заказчика — имеет доступ к нужной информации на своём уровне.
🍭Фичи:
👥 Гибкая модель ролей и прав — управление доступом по ролям, включая 2FA и SSO (OpenID Connect)
🧭 Поддержка OWASP WSTG и MASTG — шаблоны тестирования встроены прямо в систему
📡 История действий и аудит — вся активность логируется для прозрачности
🧰 Ключевые функции
📋 Проекты, задачи, уязвимости — централизованное ведение всех сущностей, связанных с тестированием
🧾 PDF-отчёты по шаблонам — автоматическая генерация понятных и презентабельных документов
📈 Интерактивные дашборды — аналитика в реальном времени с разбивкой по статусу задач, уязвимостям и проектам
🌐 Интерфейс на нескольких языках — английский и испанский с возможностью локализации
🤖 Интеграция с ИИ — подключение OpenAI, Anthropic и локальных моделей для генерации текста и автоматизации
🛠️ Технологии под капотом
📦 Бэкенд на .NET 8
🐘 База данных — PostgreSQL
🐳 Развёртывание через Docker Compose
📡 API-first подход — для интеграции с Jira, внешними SIEM и CI/CD пайплайнами
Платформа не требует сложной установки: поднять её можно за считаные минуты на любом сервере, используя контейнерную инфраструктуру.
📌 Актуальный статус проекта
🔧 Проект активно развивается — более 40 пулл-реквестов и регулярные релизы
📅 Последняя версия — v1.3 Beta:
- Поддержка нескольких ролей
- Расширенные отчёты
- Интеграция с OpenID
- Поддержка кастомного CSS
- Улучшенные AI-инструменты
✅ Для кого?
- Команды Red Team и Blue Team
- Консультанты по кибербезопасности
- Внутренние службы ИБ в корпорациях
- Специалисты по баг-баунти и аудитам
- Интеграторы DevSecOps
Если вы хотите централизовать управление безопасностью и облегчить совместную работу — Cervantes может стать отличным помощником.
🔗 Ознакомиться с проектом и развернуть: GitHub — github.com/CervantesSec/cervantes
📖 Документация и демо: www.cervantessec.org
Stay secure and read SecureTechTalks 📚
#Cervantes #RedTeam #PentestPlatform #VulnerabilityManagement #CyberSecurity #DevSecOps #OpenSource #SecurityAutomation #PostgreSQL #Docker #CollaborationTools #OWASP #InfoSecTools #SecureTechTalks #PentestingSuite #ThreatAnalysis #AIIntegration #SSO #SecurityDashboard #PDFReports
Cervantes — open-source платформа, созданная для упрощения и стандартизации всех этапов работы специалистов ИБ: от постановки задач до генерации итоговых отчётов.
🤝 Совместная работа и прозрачность
Решение спроектировано как инструмент командной работы, где каждый участник — от пентестера до заказчика — имеет доступ к нужной информации на своём уровне.
🍭Фичи:
👥 Гибкая модель ролей и прав — управление доступом по ролям, включая 2FA и SSO (OpenID Connect)
🧭 Поддержка OWASP WSTG и MASTG — шаблоны тестирования встроены прямо в систему
📡 История действий и аудит — вся активность логируется для прозрачности
🧰 Ключевые функции
📋 Проекты, задачи, уязвимости — централизованное ведение всех сущностей, связанных с тестированием
🧾 PDF-отчёты по шаблонам — автоматическая генерация понятных и презентабельных документов
📈 Интерактивные дашборды — аналитика в реальном времени с разбивкой по статусу задач, уязвимостям и проектам
🌐 Интерфейс на нескольких языках — английский и испанский с возможностью локализации
🤖 Интеграция с ИИ — подключение OpenAI, Anthropic и локальных моделей для генерации текста и автоматизации
🛠️ Технологии под капотом
📦 Бэкенд на .NET 8
🐘 База данных — PostgreSQL
🐳 Развёртывание через Docker Compose
📡 API-first подход — для интеграции с Jira, внешними SIEM и CI/CD пайплайнами
Платформа не требует сложной установки: поднять её можно за считаные минуты на любом сервере, используя контейнерную инфраструктуру.
📌 Актуальный статус проекта
🔧 Проект активно развивается — более 40 пулл-реквестов и регулярные релизы
📅 Последняя версия — v1.3 Beta:
- Поддержка нескольких ролей
- Расширенные отчёты
- Интеграция с OpenID
- Поддержка кастомного CSS
- Улучшенные AI-инструменты
✅ Для кого?
- Команды Red Team и Blue Team
- Консультанты по кибербезопасности
- Внутренние службы ИБ в корпорациях
- Специалисты по баг-баунти и аудитам
- Интеграторы DevSecOps
Если вы хотите централизовать управление безопасностью и облегчить совместную работу — Cervantes может стать отличным помощником.
🔗 Ознакомиться с проектом и развернуть: GitHub — github.com/CervantesSec/cervantes
📖 Документация и демо: www.cervantessec.org
Stay secure and read SecureTechTalks 📚
#Cervantes #RedTeam #PentestPlatform #VulnerabilityManagement #CyberSecurity #DevSecOps #OpenSource #SecurityAutomation #PostgreSQL #Docker #CollaborationTools #OWASP #InfoSecTools #SecureTechTalks #PentestingSuite #ThreatAnalysis #AIIntegration #SSO #SecurityDashboard #PDFReports
🧨 Carbonato: ботнет устанавливает AI агента на взломанный сервер
Исследователи ThreatDown обнаружили Carbonato, новый ботнет для Linux, который захватывает Docker хосты и устанавливает на них полноценного AI агента Hermes.
После заражения оператор может написать задачу в Telegram. Hermes сам интерпретирует её, генерирует команды терминала, запускает их на сервере, анализирует результат и решает, что делать дальше.
⚙️ Вход через Docker
Carbonato ищет Docker API, доступный без аутентификации на порту "2375". Через него атакующий запускает привилегированный контейнер, получает доступ к хосту, открывает обратный SSH туннель и устанавливает собственный SSH ключ.
Для закрепления используются cron, systemd timers, rc.local и OpenRC. Каждые пять минут заражённый сервер сканирует подключённые сети и Docker bridges в поисках следующих доступных Docker API.
🤖 Внутри появляется AI агент GH0ST
На захваченный сервер устанавливается open source Hermes Agent. Сам framework исследователи обнаружили практически без изменений. Атакующие просто заменили его файл "SOUL.md" на 39 строк инструкций и дали агенту имя GH0ST.
Приоритет агента сначала искать AI API keys, затем SSH credentials, access tokens, базы данных и другие секреты. В инструкциях перечислены 14 AI провайдеров.
🔬 Исследователи нашли инфраструктуру целиком
ThreatDown обнаружила открытый Docker registry, из которого за сутки удалось получить 59 репозиториев, 234 image tags, 605 blobs и 4,3 ГБ данных.
Архив охватывает период с октября 2024 по август 2026 года и содержит инфраструктуру Carbonato вместе с отдельной кампанией по распространению поддельных криптокошельков.
На 3 сентября шесть из семи известных registry, phishing инфраструктура, CDN и LLM gateway всё ещё работали.
🔗 Источник: ThreatDown
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AISecurity #Carbonato #Malware #Docker #HermesAgent #AIAgents #Botnet #ThreatIntelligence #SecureTechTalks
Исследователи ThreatDown обнаружили Carbonato, новый ботнет для Linux, который захватывает Docker хосты и устанавливает на них полноценного AI агента Hermes.
После заражения оператор может написать задачу в Telegram. Hermes сам интерпретирует её, генерирует команды терминала, запускает их на сервере, анализирует результат и решает, что делать дальше.
⚙️ Вход через Docker
Carbonato ищет Docker API, доступный без аутентификации на порту "2375". Через него атакующий запускает привилегированный контейнер, получает доступ к хосту, открывает обратный SSH туннель и устанавливает собственный SSH ключ.
Для закрепления используются cron, systemd timers, rc.local и OpenRC. Каждые пять минут заражённый сервер сканирует подключённые сети и Docker bridges в поисках следующих доступных Docker API.
🤖 Внутри появляется AI агент GH0ST
На захваченный сервер устанавливается open source Hermes Agent. Сам framework исследователи обнаружили практически без изменений. Атакующие просто заменили его файл "SOUL.md" на 39 строк инструкций и дали агенту имя GH0ST.
Приоритет агента сначала искать AI API keys, затем SSH credentials, access tokens, базы данных и другие секреты. В инструкциях перечислены 14 AI провайдеров.
🔬 Исследователи нашли инфраструктуру целиком
ThreatDown обнаружила открытый Docker registry, из которого за сутки удалось получить 59 репозиториев, 234 image tags, 605 blobs и 4,3 ГБ данных.
Архив охватывает период с октября 2024 по август 2026 года и содержит инфраструктуру Carbonato вместе с отдельной кампанией по распространению поддельных криптокошельков.
На 3 сентября шесть из семи известных registry, phishing инфраструктура, CDN и LLM gateway всё ещё работали.
🔗 Источник: ThreatDown
Stay secure and read SecureTechTalks 📚
#кибербезопасность #AISecurity #Carbonato #Malware #Docker #HermesAgent #AIAgents #Botnet #ThreatIntelligence #SecureTechTalks
👍1