Decine di cluster Kubernetes colpiti da campagne di crypto-mining ancora attive

Ago 11, 2023 Marina Londei Attacchi, In evidenza, Minacce, News, RSS, Vulnerabilità 0

I ricercatori della compagnia di sicurezza Aqua hanno individuato diverse campagne di crypto-mining tuttora attive contro diversi cluster Kubernetes vulnerabili. La compagnia aveva individuato cluster vulnerabili appartenenti a più di 350 organizzazioni, sia piccole-medie imprese che grandi aziende, e il 60% di questi è stato colpito dalla campagna malware.

Stando all’analisi dei ricercatori, attualmente ci sono 3 campagne di crypto-mining attive, oltre a una campagna che sfrutta il Role-Base Access Control di Kubernetes per creare backdoor nei cluster e una campagna di TeamTNT per ottenere credenziali.

Credits: SergeyNivens- Depositphotos

Il team di sicurezza ha individuato due principali vulnerabilità nei cluster analizzati: una, già conosciuta, consente l’accesso anonimo alle macchine con i privilegi di amministratore; l’altra sfrutta invece l’esecuzione del proxy kubectl per esporre il cluster in rete, rendendolo un target per gli attacchi.

La prima vulnerabilità riguarda l’impostazione per l’autenticazione anonima che è permessa di default. Gli utenti anonimi non hanno privilegi, ma possono effettuare comunque richieste al cluster. Combinata con altre vulnerabilità o impostazioni errate, spiegano i ricercatori, questa configurazione può portare gli attaccanti a ottenere accesso completo al cluster, potenzialmente compromettendo tutte le applicazioni in esecuzione.

La seconda vulnerabilità riguarda invece il comando kubectl proxy che consente di creare un proxy per inoltrare le richieste al server API di Kubernetes. Eseguendo il comando coi flag --address=`0.0.0.0` --accept-hosts `.*` il proxy accetta tutte le richieste da qualsiasi host, per di più con gli stessi privilegi dell’utente che ha eseguito il comando.

Pixabay

Le conseguenze degli attacchi ai cluster Kubernetes potrebbero essere disastrose: i cluster colpiti contengono dati sensibili sia dell’azienda proprietaria che dei suoi clienti, record finanziari, proprietà intellettuali, credenziali di accesso all’infrastruttura, certificati e chiavi di cifratura.

La maggior parte delle aziende, a prescindere dalla grandezza, ha problemi di configurazione dei cluster, indice di una grave carenza nella gestione della sicurezza. I ricercatori consigliano innanzitutto di configurare il proxy kubectl in modo che non sia raggiungibile dal web, all’interno di un ambiente sicuro e accessibile solo agli utenti autorizzati.

Le organizzazioni dovrebbero inoltre promuovere audit regolari per le attività dei cluster e implementare soluzioni per il controllo degli accessi, oltre a investire nel training dello staff sui rischi delle configurazioni errate.

Condividi l'articolo