Death by Doki : une nouvelle vulnérabilité de Docker très grave (et ce que vous pouvez faire pour y remédier)
Dans les onomatopées japonaises, l'expression « doki-doki » (« » ») représente le son d'un cœur qui bat à plein régime... C'est exactement ce que peuvent ressentir les membres de l'équipe de sécurité si leur serveur Docker est infecté par Doki, une nouvelle vulnérabilité qui fournit une porte dérobée pour l'injection de code malveillant, et bien plus encore. Un nom approprié, c'est le moins qu'on puisse dire.
Alors que nous dépendons de plus en plus de l'infrastructure cloud, le besoin de précision et d'efficacité évolutive des meilleures pratiques de sécurité est vital, et cela doit aller bien au-delà du strict minimum pour un déploiement d'applications sécurisé, avec des mesures personnalisées de sécurité des conteneurs connues et déployées dans l'ensemble du SDLC.
Les cyberattaques sont de plus en plus fréquentes et les menaces affectant les infrastructures basées sur Linux sont de plus en plus courantes, l'objectif final étant de saisir une opportunité de déverrouiller un coffre contenant des données sensibles stockées dans le cloud. C'est exactement ce que Doki vise, et son utilisation de multiples technologies pour rester non détectée, puissante et efficace ne ressemble à rien de ce qui a été vu auparavant dans le domaine des problèmes de sécurité liés à Docker.
Qu'est-ce que Doki et comment fonctionne-t-il ?
Comme c'est un thème récurrent dans de nombreuses applications compromises, mauvaise configuration de la sécurité joue un rôle inacceptable dans la manière dont le logiciel a été piraté. Pour Docker en particulier, une API Docker Engine mal configurée s'est révélée fructueuse pour les attaquants. Le Botnet Ngrok Le bot de cryptomining recherche des serveurs Docker non sécurisés depuis 2018, lance ses propres conteneurs et exécute des logiciels malveillants sur l'infrastructure de la victime.
Doki est une version plus rusée et plus malveillante de ce malware, qui a réussi grâce au même botnet exposant le même vecteur d'attaque : une mauvaise configuration de l'API, qui aurait dû être corrigée bien avant tout déploiement de code ou toute visibilité publique du serveur. Doki utilise la blockchain de la crypto-monnaie satirique préférée de tous, Dogecoin, pour agir comme une porte dérobée pratiquement indétectable. Dans l'état actuel des choses, il s'est faufilé sans laisser de traces. depuis janvier.
Le malware abuse essentiellement d'un portefeuille blockchain pour générer des noms de domaine de commande et de contrôle (C2), ce qui n'est pas nouveau en soi, mais Doki fournit une capacité continue d'exécution de code à distance sur un serveur infecté, laissant place à une série d'attaques dommageables basées sur des logiciels malveillants, comme les rançongiciels et les DDoS. Il est implacable, comme un « Doge avec un os », si vous voulez. Les bonnes personnes d'Intezer ont un rédaction complète sur l'ensemble de la menace et sa charge utile tentaculaire.
Repérer une voie Doki dans le code.
Le fait que Doki soit une porte dérobée fonctionnant sur un réseau blockchain décentralisé, utilisant des techniques d'évasion de conteneurs insaisissables et rapides pour couvrir les traces, accéder à plus de zones de l'hôte et continuer à propager l'infection, en fait un véritable cauchemar pour les développeurs comme pour les équipes de sécurité.
Cependant, Doki ne peut pas infecter un serveur Docker doté de ports API sécurisés. Une mauvaise configuration de ceux-ci pendant la production est une erreur aux conséquences considérables, mais une formation efficace sur la sensibilisation à la sécurité et les compétences pratiques en matière de codage sécurisé pour les développeurs cloud est une solution assez « simple », face à un logiciel malveillant aussi complexe et percutant.
Jetons un coup d'œil à cet exemple d'API Docker non sécurisée, une API dans laquelle Doki pourrait trouver un moyen d'entrer et commencer à se diffuser :
dockerd -H tcp : //0.0.0. 0:2375
Pouvez-vous repérer les erreurs de configuration ? La version sécurisée ressemble à ceci :
dockerd -H tcp : //0.0.0. 0:2376 --tlsverify --tlscacert=/etc/ssl/certs/ca.pem --tlscert=/etc/ssl/certs/server-cert.pem --tlskey=/etc/ssl/private/server-key.pem
Dans l'exemple non sécurisé, l'API Docker Engine écoute sur le port TCP 2375 et acceptera n'importe quel demande de connexion, afin qu'elle soit accessible à toute personne accédant au serveur Docker.
Dans l'exemple sécurisé, l'API Docker Engine a été configurée pour utiliser la validation des certificats TLS et n'acceptera que les connexions provenant de clients fournissant un certificat approuvé par votre autorité de certification.
Nous proposons une toute nouvelle série de défis ludiques pour aider les développeurs à identifier et à corriger la cause première d'une infection par Doki, et vous pouvez y jouer ici:
L'infrastructure cloud sécurisée est un sport d'équipe.
Mauvais paramétrages du cloud ont coûté aux entreprises la somme époustouflante de 5 billions de dollars en 2018 et 2019, ce qui représente des milliards de dossiers exposés et une atteinte irréversible à leur réputation. Pour un vecteur d'attaque largement évitable, il s'agit d'une statistique plutôt alarmante. Et penser que des mesures telles que la surveillance et la réparation des ports exposés (idéalement avant le déploiement), la recherche de conteneurs inconnus et la surveillance de toute charge excessive des serveurs pourraient empêcher les dégâts massifs causés par un appareil comme Doki, eh bien, c'est un petit prix à payer pour avoir l'esprit tranquille.
La sensibilisation à la sécurité à l'échelle de l'entreprise est essentielle, et pour chaque personne impliquée dans le SDLC, appliquer les meilleures pratiques de sécurité n'est pas négociable. Les meilleures organisations s'engagent à appliquer un processus DevSecOps solide, dans lequel la responsabilité en matière de sécurité est partagée, et les développeurs et les professionnels de la sécurité des applications disposent des connaissances et des outils nécessaires pour empêcher les vulnérabilités courantes de pénétrer dans les logiciels et les infrastructures vitales.
Vous voulez démarrer en tant qu'ingénieur cloud survitaminé et soucieux de la sécurité ? Commencez à tester vos compétences dès maintenant.
Les cyberattaques sont de plus en plus fréquentes et les menaces affectant les infrastructures basées sur Linux sont de plus en plus courantes, l'objectif final étant de saisir une opportunité de déverrouiller un coffre contenant des données sensibles stockées dans le cloud.
Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Secure Code Warrior Ihr Unternehmen dabei, den Code während des gesamten Softwareentwicklungszyklus zu sichern und eine Kultur zu schaffen, in der Cybersicherheit oberste Priorität hat. Ganz gleich, ob Sie für die Anwendungssicherheit verantwortlich sind, Entwickler, IT-Sicherheitsbeauftragter oder in einer anderen Funktion im Bereich Sicherheit tätig sind – wir können Ihrem Unternehmen dabei helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchen
Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Matias ist ein Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung im Bereich der Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und kann auf über 10 Patente verweisen. Wenn er nicht am Schreibtisch sitzt, ist Matias als Ausbilder für fortgeschrittene Anwendungssicherheitstrainings courses tätig und hält regelmäßig Vorträge auf globalen Konferenzen wie RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.
Matias hat einen Doktortitel in Computertechnik von der Universität Gent, wo er die Sicherheit von Anwendungen durch Programmverschleierung untersuchte, um die innere Funktionsweise einer Anwendung zu verbergen.
Dans les onomatopées japonaises, l'expression « doki-doki » (« » ») représente le son d'un cœur qui bat à plein régime... C'est exactement ce que peuvent ressentir les membres de l'équipe de sécurité si leur serveur Docker est infecté par Doki, une nouvelle vulnérabilité qui fournit une porte dérobée pour l'injection de code malveillant, et bien plus encore. Un nom approprié, c'est le moins qu'on puisse dire.
Alors que nous dépendons de plus en plus de l'infrastructure cloud, le besoin de précision et d'efficacité évolutive des meilleures pratiques de sécurité est vital, et cela doit aller bien au-delà du strict minimum pour un déploiement d'applications sécurisé, avec des mesures personnalisées de sécurité des conteneurs connues et déployées dans l'ensemble du SDLC.
Les cyberattaques sont de plus en plus fréquentes et les menaces affectant les infrastructures basées sur Linux sont de plus en plus courantes, l'objectif final étant de saisir une opportunité de déverrouiller un coffre contenant des données sensibles stockées dans le cloud. C'est exactement ce que Doki vise, et son utilisation de multiples technologies pour rester non détectée, puissante et efficace ne ressemble à rien de ce qui a été vu auparavant dans le domaine des problèmes de sécurité liés à Docker.
Qu'est-ce que Doki et comment fonctionne-t-il ?
Comme c'est un thème récurrent dans de nombreuses applications compromises, mauvaise configuration de la sécurité joue un rôle inacceptable dans la manière dont le logiciel a été piraté. Pour Docker en particulier, une API Docker Engine mal configurée s'est révélée fructueuse pour les attaquants. Le Botnet Ngrok Le bot de cryptomining recherche des serveurs Docker non sécurisés depuis 2018, lance ses propres conteneurs et exécute des logiciels malveillants sur l'infrastructure de la victime.
Doki est une version plus rusée et plus malveillante de ce malware, qui a réussi grâce au même botnet exposant le même vecteur d'attaque : une mauvaise configuration de l'API, qui aurait dû être corrigée bien avant tout déploiement de code ou toute visibilité publique du serveur. Doki utilise la blockchain de la crypto-monnaie satirique préférée de tous, Dogecoin, pour agir comme une porte dérobée pratiquement indétectable. Dans l'état actuel des choses, il s'est faufilé sans laisser de traces. depuis janvier.
Le malware abuse essentiellement d'un portefeuille blockchain pour générer des noms de domaine de commande et de contrôle (C2), ce qui n'est pas nouveau en soi, mais Doki fournit une capacité continue d'exécution de code à distance sur un serveur infecté, laissant place à une série d'attaques dommageables basées sur des logiciels malveillants, comme les rançongiciels et les DDoS. Il est implacable, comme un « Doge avec un os », si vous voulez. Les bonnes personnes d'Intezer ont un rédaction complète sur l'ensemble de la menace et sa charge utile tentaculaire.
Repérer une voie Doki dans le code.
Le fait que Doki soit une porte dérobée fonctionnant sur un réseau blockchain décentralisé, utilisant des techniques d'évasion de conteneurs insaisissables et rapides pour couvrir les traces, accéder à plus de zones de l'hôte et continuer à propager l'infection, en fait un véritable cauchemar pour les développeurs comme pour les équipes de sécurité.
Cependant, Doki ne peut pas infecter un serveur Docker doté de ports API sécurisés. Une mauvaise configuration de ceux-ci pendant la production est une erreur aux conséquences considérables, mais une formation efficace sur la sensibilisation à la sécurité et les compétences pratiques en matière de codage sécurisé pour les développeurs cloud est une solution assez « simple », face à un logiciel malveillant aussi complexe et percutant.
Jetons un coup d'œil à cet exemple d'API Docker non sécurisée, une API dans laquelle Doki pourrait trouver un moyen d'entrer et commencer à se diffuser :
dockerd -H tcp : //0.0.0. 0:2375
Pouvez-vous repérer les erreurs de configuration ? La version sécurisée ressemble à ceci :
dockerd -H tcp : //0.0.0. 0:2376 --tlsverify --tlscacert=/etc/ssl/certs/ca.pem --tlscert=/etc/ssl/certs/server-cert.pem --tlskey=/etc/ssl/private/server-key.pem
Dans l'exemple non sécurisé, l'API Docker Engine écoute sur le port TCP 2375 et acceptera n'importe quel demande de connexion, afin qu'elle soit accessible à toute personne accédant au serveur Docker.
Dans l'exemple sécurisé, l'API Docker Engine a été configurée pour utiliser la validation des certificats TLS et n'acceptera que les connexions provenant de clients fournissant un certificat approuvé par votre autorité de certification.
Nous proposons une toute nouvelle série de défis ludiques pour aider les développeurs à identifier et à corriger la cause première d'une infection par Doki, et vous pouvez y jouer ici:
L'infrastructure cloud sécurisée est un sport d'équipe.
Mauvais paramétrages du cloud ont coûté aux entreprises la somme époustouflante de 5 billions de dollars en 2018 et 2019, ce qui représente des milliards de dossiers exposés et une atteinte irréversible à leur réputation. Pour un vecteur d'attaque largement évitable, il s'agit d'une statistique plutôt alarmante. Et penser que des mesures telles que la surveillance et la réparation des ports exposés (idéalement avant le déploiement), la recherche de conteneurs inconnus et la surveillance de toute charge excessive des serveurs pourraient empêcher les dégâts massifs causés par un appareil comme Doki, eh bien, c'est un petit prix à payer pour avoir l'esprit tranquille.
La sensibilisation à la sécurité à l'échelle de l'entreprise est essentielle, et pour chaque personne impliquée dans le SDLC, appliquer les meilleures pratiques de sécurité n'est pas négociable. Les meilleures organisations s'engagent à appliquer un processus DevSecOps solide, dans lequel la responsabilité en matière de sécurité est partagée, et les développeurs et les professionnels de la sécurité des applications disposent des connaissances et des outils nécessaires pour empêcher les vulnérabilités courantes de pénétrer dans les logiciels et les infrastructures vitales.
Vous voulez démarrer en tant qu'ingénieur cloud survitaminé et soucieux de la sécurité ? Commencez à tester vos compétences dès maintenant.
Dans les onomatopées japonaises, l'expression « doki-doki » (« » ») représente le son d'un cœur qui bat à plein régime... C'est exactement ce que peuvent ressentir les membres de l'équipe de sécurité si leur serveur Docker est infecté par Doki, une nouvelle vulnérabilité qui fournit une porte dérobée pour l'injection de code malveillant, et bien plus encore. Un nom approprié, c'est le moins qu'on puisse dire.
Alors que nous dépendons de plus en plus de l'infrastructure cloud, le besoin de précision et d'efficacité évolutive des meilleures pratiques de sécurité est vital, et cela doit aller bien au-delà du strict minimum pour un déploiement d'applications sécurisé, avec des mesures personnalisées de sécurité des conteneurs connues et déployées dans l'ensemble du SDLC.
Les cyberattaques sont de plus en plus fréquentes et les menaces affectant les infrastructures basées sur Linux sont de plus en plus courantes, l'objectif final étant de saisir une opportunité de déverrouiller un coffre contenant des données sensibles stockées dans le cloud. C'est exactement ce que Doki vise, et son utilisation de multiples technologies pour rester non détectée, puissante et efficace ne ressemble à rien de ce qui a été vu auparavant dans le domaine des problèmes de sécurité liés à Docker.
Qu'est-ce que Doki et comment fonctionne-t-il ?
Comme c'est un thème récurrent dans de nombreuses applications compromises, mauvaise configuration de la sécurité joue un rôle inacceptable dans la manière dont le logiciel a été piraté. Pour Docker en particulier, une API Docker Engine mal configurée s'est révélée fructueuse pour les attaquants. Le Botnet Ngrok Le bot de cryptomining recherche des serveurs Docker non sécurisés depuis 2018, lance ses propres conteneurs et exécute des logiciels malveillants sur l'infrastructure de la victime.
Doki est une version plus rusée et plus malveillante de ce malware, qui a réussi grâce au même botnet exposant le même vecteur d'attaque : une mauvaise configuration de l'API, qui aurait dû être corrigée bien avant tout déploiement de code ou toute visibilité publique du serveur. Doki utilise la blockchain de la crypto-monnaie satirique préférée de tous, Dogecoin, pour agir comme une porte dérobée pratiquement indétectable. Dans l'état actuel des choses, il s'est faufilé sans laisser de traces. depuis janvier.
Le malware abuse essentiellement d'un portefeuille blockchain pour générer des noms de domaine de commande et de contrôle (C2), ce qui n'est pas nouveau en soi, mais Doki fournit une capacité continue d'exécution de code à distance sur un serveur infecté, laissant place à une série d'attaques dommageables basées sur des logiciels malveillants, comme les rançongiciels et les DDoS. Il est implacable, comme un « Doge avec un os », si vous voulez. Les bonnes personnes d'Intezer ont un rédaction complète sur l'ensemble de la menace et sa charge utile tentaculaire.
Repérer une voie Doki dans le code.
Le fait que Doki soit une porte dérobée fonctionnant sur un réseau blockchain décentralisé, utilisant des techniques d'évasion de conteneurs insaisissables et rapides pour couvrir les traces, accéder à plus de zones de l'hôte et continuer à propager l'infection, en fait un véritable cauchemar pour les développeurs comme pour les équipes de sécurité.
Cependant, Doki ne peut pas infecter un serveur Docker doté de ports API sécurisés. Une mauvaise configuration de ceux-ci pendant la production est une erreur aux conséquences considérables, mais une formation efficace sur la sensibilisation à la sécurité et les compétences pratiques en matière de codage sécurisé pour les développeurs cloud est une solution assez « simple », face à un logiciel malveillant aussi complexe et percutant.
Jetons un coup d'œil à cet exemple d'API Docker non sécurisée, une API dans laquelle Doki pourrait trouver un moyen d'entrer et commencer à se diffuser :
dockerd -H tcp : //0.0.0. 0:2375
Pouvez-vous repérer les erreurs de configuration ? La version sécurisée ressemble à ceci :
dockerd -H tcp : //0.0.0. 0:2376 --tlsverify --tlscacert=/etc/ssl/certs/ca.pem --tlscert=/etc/ssl/certs/server-cert.pem --tlskey=/etc/ssl/private/server-key.pem
Dans l'exemple non sécurisé, l'API Docker Engine écoute sur le port TCP 2375 et acceptera n'importe quel demande de connexion, afin qu'elle soit accessible à toute personne accédant au serveur Docker.
Dans l'exemple sécurisé, l'API Docker Engine a été configurée pour utiliser la validation des certificats TLS et n'acceptera que les connexions provenant de clients fournissant un certificat approuvé par votre autorité de certification.
Nous proposons une toute nouvelle série de défis ludiques pour aider les développeurs à identifier et à corriger la cause première d'une infection par Doki, et vous pouvez y jouer ici:
L'infrastructure cloud sécurisée est un sport d'équipe.
Mauvais paramétrages du cloud ont coûté aux entreprises la somme époustouflante de 5 billions de dollars en 2018 et 2019, ce qui représente des milliards de dossiers exposés et une atteinte irréversible à leur réputation. Pour un vecteur d'attaque largement évitable, il s'agit d'une statistique plutôt alarmante. Et penser que des mesures telles que la surveillance et la réparation des ports exposés (idéalement avant le déploiement), la recherche de conteneurs inconnus et la surveillance de toute charge excessive des serveurs pourraient empêcher les dégâts massifs causés par un appareil comme Doki, eh bien, c'est un petit prix à payer pour avoir l'esprit tranquille.
La sensibilisation à la sécurité à l'échelle de l'entreprise est essentielle, et pour chaque personne impliquée dans le SDLC, appliquer les meilleures pratiques de sécurité n'est pas négociable. Les meilleures organisations s'engagent à appliquer un processus DevSecOps solide, dans lequel la responsabilité en matière de sécurité est partagée, et les développeurs et les professionnels de la sécurité des applications disposent des connaissances et des outils nécessaires pour empêcher les vulnérabilités courantes de pénétrer dans les logiciels et les infrastructures vitales.
Vous voulez démarrer en tant qu'ingénieur cloud survitaminé et soucieux de la sécurité ? Commencez à tester vos compétences dès maintenant.
Klicken Sie auf den untenstehenden Link und laden Sie das PDF dieser Ressource herunter.
Secure Code Warrior Ihr Unternehmen dabei, den Code während des gesamten Softwareentwicklungszyklus zu sichern und eine Kultur zu schaffen, in der Cybersicherheit oberste Priorität hat. Ganz gleich, ob Sie für die Anwendungssicherheit verantwortlich sind, Entwickler, IT-Sicherheitsbeauftragter oder in einer anderen Funktion im Bereich Sicherheit tätig sind – wir können Ihrem Unternehmen dabei helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Bericht anzeigenDemo buchen
Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Matias ist ein Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung im Bereich der Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und kann auf über 10 Patente verweisen. Wenn er nicht am Schreibtisch sitzt, ist Matias als Ausbilder für fortgeschrittene Anwendungssicherheitstrainings courses tätig und hält regelmäßig Vorträge auf globalen Konferenzen wie RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.
Matias hat einen Doktortitel in Computertechnik von der Universität Gent, wo er die Sicherheit von Anwendungen durch Programmverschleierung untersuchte, um die innere Funktionsweise einer Anwendung zu verbergen.
Dans les onomatopées japonaises, l'expression « doki-doki » (« » ») représente le son d'un cœur qui bat à plein régime... C'est exactement ce que peuvent ressentir les membres de l'équipe de sécurité si leur serveur Docker est infecté par Doki, une nouvelle vulnérabilité qui fournit une porte dérobée pour l'injection de code malveillant, et bien plus encore. Un nom approprié, c'est le moins qu'on puisse dire.
Alors que nous dépendons de plus en plus de l'infrastructure cloud, le besoin de précision et d'efficacité évolutive des meilleures pratiques de sécurité est vital, et cela doit aller bien au-delà du strict minimum pour un déploiement d'applications sécurisé, avec des mesures personnalisées de sécurité des conteneurs connues et déployées dans l'ensemble du SDLC.
Les cyberattaques sont de plus en plus fréquentes et les menaces affectant les infrastructures basées sur Linux sont de plus en plus courantes, l'objectif final étant de saisir une opportunité de déverrouiller un coffre contenant des données sensibles stockées dans le cloud. C'est exactement ce que Doki vise, et son utilisation de multiples technologies pour rester non détectée, puissante et efficace ne ressemble à rien de ce qui a été vu auparavant dans le domaine des problèmes de sécurité liés à Docker.
Qu'est-ce que Doki et comment fonctionne-t-il ?
Comme c'est un thème récurrent dans de nombreuses applications compromises, mauvaise configuration de la sécurité joue un rôle inacceptable dans la manière dont le logiciel a été piraté. Pour Docker en particulier, une API Docker Engine mal configurée s'est révélée fructueuse pour les attaquants. Le Botnet Ngrok Le bot de cryptomining recherche des serveurs Docker non sécurisés depuis 2018, lance ses propres conteneurs et exécute des logiciels malveillants sur l'infrastructure de la victime.
Doki est une version plus rusée et plus malveillante de ce malware, qui a réussi grâce au même botnet exposant le même vecteur d'attaque : une mauvaise configuration de l'API, qui aurait dû être corrigée bien avant tout déploiement de code ou toute visibilité publique du serveur. Doki utilise la blockchain de la crypto-monnaie satirique préférée de tous, Dogecoin, pour agir comme une porte dérobée pratiquement indétectable. Dans l'état actuel des choses, il s'est faufilé sans laisser de traces. depuis janvier.
Le malware abuse essentiellement d'un portefeuille blockchain pour générer des noms de domaine de commande et de contrôle (C2), ce qui n'est pas nouveau en soi, mais Doki fournit une capacité continue d'exécution de code à distance sur un serveur infecté, laissant place à une série d'attaques dommageables basées sur des logiciels malveillants, comme les rançongiciels et les DDoS. Il est implacable, comme un « Doge avec un os », si vous voulez. Les bonnes personnes d'Intezer ont un rédaction complète sur l'ensemble de la menace et sa charge utile tentaculaire.
Repérer une voie Doki dans le code.
Le fait que Doki soit une porte dérobée fonctionnant sur un réseau blockchain décentralisé, utilisant des techniques d'évasion de conteneurs insaisissables et rapides pour couvrir les traces, accéder à plus de zones de l'hôte et continuer à propager l'infection, en fait un véritable cauchemar pour les développeurs comme pour les équipes de sécurité.
Cependant, Doki ne peut pas infecter un serveur Docker doté de ports API sécurisés. Une mauvaise configuration de ceux-ci pendant la production est une erreur aux conséquences considérables, mais une formation efficace sur la sensibilisation à la sécurité et les compétences pratiques en matière de codage sécurisé pour les développeurs cloud est une solution assez « simple », face à un logiciel malveillant aussi complexe et percutant.
Jetons un coup d'œil à cet exemple d'API Docker non sécurisée, une API dans laquelle Doki pourrait trouver un moyen d'entrer et commencer à se diffuser :
dockerd -H tcp : //0.0.0. 0:2375
Pouvez-vous repérer les erreurs de configuration ? La version sécurisée ressemble à ceci :
dockerd -H tcp : //0.0.0. 0:2376 --tlsverify --tlscacert=/etc/ssl/certs/ca.pem --tlscert=/etc/ssl/certs/server-cert.pem --tlskey=/etc/ssl/private/server-key.pem
Dans l'exemple non sécurisé, l'API Docker Engine écoute sur le port TCP 2375 et acceptera n'importe quel demande de connexion, afin qu'elle soit accessible à toute personne accédant au serveur Docker.
Dans l'exemple sécurisé, l'API Docker Engine a été configurée pour utiliser la validation des certificats TLS et n'acceptera que les connexions provenant de clients fournissant un certificat approuvé par votre autorité de certification.
Nous proposons une toute nouvelle série de défis ludiques pour aider les développeurs à identifier et à corriger la cause première d'une infection par Doki, et vous pouvez y jouer ici:
L'infrastructure cloud sécurisée est un sport d'équipe.
Mauvais paramétrages du cloud ont coûté aux entreprises la somme époustouflante de 5 billions de dollars en 2018 et 2019, ce qui représente des milliards de dossiers exposés et une atteinte irréversible à leur réputation. Pour un vecteur d'attaque largement évitable, il s'agit d'une statistique plutôt alarmante. Et penser que des mesures telles que la surveillance et la réparation des ports exposés (idéalement avant le déploiement), la recherche de conteneurs inconnus et la surveillance de toute charge excessive des serveurs pourraient empêcher les dégâts massifs causés par un appareil comme Doki, eh bien, c'est un petit prix à payer pour avoir l'esprit tranquille.
La sensibilisation à la sécurité à l'échelle de l'entreprise est essentielle, et pour chaque personne impliquée dans le SDLC, appliquer les meilleures pratiques de sécurité n'est pas négociable. Les meilleures organisations s'engagent à appliquer un processus DevSecOps solide, dans lequel la responsabilité en matière de sécurité est partagée, et les développeurs et les professionnels de la sécurité des applications disposent des connaissances et des outils nécessaires pour empêcher les vulnérabilités courantes de pénétrer dans les logiciels et les infrastructures vitales.
Vous voulez démarrer en tant qu'ingénieur cloud survitaminé et soucieux de la sécurité ? Commencez à tester vos compétences dès maintenant.
Inhaltsverzeichnis
Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Secure Code Warrior Ihr Unternehmen dabei, den Code während des gesamten Softwareentwicklungszyklus zu sichern und eine Kultur zu schaffen, in der Cybersicherheit oberste Priorität hat. Ganz gleich, ob Sie für die Anwendungssicherheit verantwortlich sind, Entwickler, IT-Sicherheitsbeauftragter oder in einer anderen Funktion im Bereich Sicherheit tätig sind – wir können Ihrem Unternehmen dabei helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchenHerunterladenRessourcen, die Ihnen den Einstieg erleichtern
Themen und Inhalte der Schulung zum sicheren Code
Unsere hochmodernen Inhalte werden ständig weiterentwickelt, um mit den ständigen Veränderungen in der Softwareentwicklungslandschaft Schritt zu halten und gleichzeitig Ihre Rolle zu berücksichtigen. Die Themen reichen von KI bis hin zu XQuery-Injection und sind für eine Vielzahl von Positionen konzipiert, von Architekten über Ingenieure bis hin zu Produktmanagern und Qualitätssicherungsmitarbeitern. Verschaffen Sie sich einen Überblick über die Inhalte unseres Katalogs, sortiert nach Themen und Rollen.
Die Kamer van Koophandel setzt Maßstäbe für entwicklergesteuerte Sicherheit in großem Maßstab
Die Kamer van Koophandel berichtet, wie sie sicheres Codieren durch rollenbasierte Zertifizierungen, Trust Score-Benchmarking und eine Kultur der gemeinsamen Verantwortung für Sicherheit in die tägliche Entwicklungsarbeit integriert hat.
%20(1).avif)
.avif)
Bedrohungsmodellierung mit KI: So wird jeder Entwickler zum Bedrohungsmodellierer
Sie werden besser gerüstet sein, um Entwicklern dabei zu helfen, Ideen und Techniken zur Bedrohungsmodellierung mit den KI-Tools zu kombinieren, die sie bereits verwenden, um die Sicherheit zu erhöhen, die Zusammenarbeit zu verbessern und von Anfang an widerstandsfähigere Software zu entwickeln.
Ressourcen, die Ihnen den Einstieg erleichtern
Cybermon ist zurück: Die missions „Beat the Boss“ sind jetzt auf Abruf verfügbar.
Cybermon 2025 Beat the Boss ist jetzt das ganze Jahr über in SCW verfügbar. Setzen Sie fortschrittliche Sicherheitsherausforderungen im Zusammenhang mit KI und LLM ein, um die sichere Entwicklung von KI in großem Maßstab zu stärken.
Erläuterung des Gesetzes zur Cyberresilienz: Was bedeutet das für die Entwicklung sicherer Software bereits ab der Konzeption?
Entdecken Sie, was das europäische Gesetz zur Cyberresilienz (CRA) verlangt, für wen es gilt und wie sich Ingenieurteams durch Sicherheitsmaßnahmen bereits in der Entwurfsphase, durch die Vermeidung von Schwachstellen und durch die Stärkung der Fähigkeiten der Entwickler darauf vorbereiten können.
Moderator 1: Definierte und messbare Erfolgskriterien
Enabler 1 gibt den Startschuss für unsere 10-teilige Serie mit dem Titel „Enablers of Success“ und zeigt, wie sichere Codierung mit geschäftlichen Ergebnissen wie Risikominderung und Schnelligkeit kombiniert werden kann, um die langfristige Reife von Programmen sicherzustellen.
