Tod durch Doki: Eine neue Docker-Schwachstelle mit Biss (und was Sie dagegen tun können)

In der japanischen Lautmalerei steht der Begriff „doki-doki“ für das Geräusch eines stark schlagenden Herzens – genau das, was Sicherheitsteams erleben könnten, wenn ihr Docker-Server mit Doki infiziert wird. Dabei handelt es sich um eine neue Schwachstelle, die eine Hintertür für die Einschleusung von Schadcode und vieles mehr bietet. Ein mehr als passender Name.

Da wir immer abhängiger von Cloud-Infrastrukturen werden, ist die präzise und skalierbare Umsetzung von Sicherheits-Best-Practices unerlässlich. Dies muss weit über das absolute Minimum für eine sichere Anwendungsbereitstellung hinausgehen und maßgeschneiderte Maßnahmen für die Containersicherheit umfassen, die im gesamten SDLC bekannt gemacht und implementiert werden.

Cyberangriffe nehmen immer weiter zu, und Bedrohungen für Linux-basierte Infrastrukturen werden immer häufiger. Das Ziel ist dabei stets, sich Zugriff auf sensible Daten in der Cloud zu verschaffen. Doki zielt genau darauf ab. Die Art und Weise, wie die Malware verschiedene Technologien nutzt, um unentdeckt, leistungsstark und effektiv zu bleiben, ist in der Welt der Docker-Sicherheit bisher einzigartig.

Was ist Doki und wie funktioniert es?

Wie bei vielen kompromittierten Anwendungen spielt falsche Sicherheitskonfiguration eine inakzeptabel große Rolle bei Sicherheitsverletzungen. Insbesondere bei Docker hat sich eine falsch konfigurierte Docker Engine API als ergiebig für Angreifer erwiesen. Das Ngrok-Botnetz für Kryptomining sucht bereits seit 2018 nach unsicheren Docker-Servern, um eigene Container zu starten und Malware auf der Infrastruktur der Opfer auszuführen.

Doki ist eine raffiniertere, bösartige Version dieser Malware, die über dasselbe Botnetz erfolgreich ist und denselben Angriffsvektor nutzt: eine API-Fehlkonfiguration, die bereits vor der Code-Bereitstellung oder der öffentlichen Sichtbarkeit des Servers hätte behoben werden müssen. Doki nutzt die Blockchain der beliebten satirischen Kryptowährung Dogecoin, um als praktisch unentdeckbare Hintertür zu fungieren. Bisher konnte sich die Malware seit Januar weitgehend unbemerkt ausbreiten.

Die Malware missbraucht im Wesentlichen eine Blockchain-Wallet, um Command-and-Control (C2)-Domainnamen zu generieren. Das ist an sich nichts Neues, aber Doki ermöglicht die kontinuierliche Ausführung von Remote-Code auf einem infizierten Server und ebnet so den Weg für eine Reihe schädlicher Malware-Angriffe wie Ransomware und DDoS. Sie ist unerbittlich – wenn man so will, wie ein „Doge mit einem Knochen“. Die Experten von Intezer haben einen ausführlichen Bericht über die gesamte Bedrohung und ihre weitreichende Nutzlast veröffentlicht.

Einen Doki-Pfad im Code erkennen.

Die Tatsache, dass Doki eine Hintertür ist, die auf einem dezentralen Blockchain-Netzwerk operiert und schwer fassbare, schnelle Techniken zum Ausbruch aus Containern einsetzt, um Spuren zu verwischen, auf weitere Bereiche des Hosts zuzugreifen und die Infektion weiter zu verbreiten, macht sie zu einem Albtraum für Entwickler und Sicherheitsteams gleichermaßen.

Dennoch kann Doki keinen Docker-Server infizieren, dessen API-Ports sicher sind. Eine Fehlkonfiguration während der Produktion ist ein Fehler mit weitreichenden Folgen. Doch eine effektive Schulung in Sicherheitsbewusstsein und praktischen Fähigkeiten für sicheres Programmieren ist für Cloud-Entwickler eine vergleichsweise „einfache“ Lösung angesichts einer so komplexen und gefährlichen Malware.

Schauen wir uns dieses Beispiel einer unsicheren Docker-API an, bei der Doki einen Weg hineinfinden und sich ausbreiten könnte:

dockerd -H tcp://0.0.0.0:2375

Erkennen Sie die Fehlkonfigurationen? Die gesicherte Version sieht so aus:

dockerd -H tcp://0.0.0.0:2376 --tlsverify --tlscacert=/etc/ssl/certs/ca.pem --tlscert=/etc/ssl/certs/server-cert.pem --tlskey=/etc/ssl/private/server-key.pem

Im unsicheren Beispiel lauscht die Docker Engine API auf dem TCP-Port 2375 und akzeptiert jede Verbindungsanfrage. Sie ist also für jeden erreichbar, der den Docker-Server kontaktieren kann.

Im sicheren Beispiel wurde die Docker Engine API so konfiguriert, dass sie die TLS-Zertifikatsvalidierung verwendet. Sie akzeptiert nur Verbindungen von Clients, die ein von Ihrer CA vertrauenswürdiges Zertifikat vorlegen.

Wir haben eine völlig neue Reihe spielerischer Herausforderungen entwickelt, die Entwicklern helfen, die Ursache einer Doki-Infektion zu identifizieren und zu beheben. Sie können eine davon hier spielen:

Sichere Cloud-Infrastruktur ist eine Teamleistung.

Fehlkonfigurationen in der Cloud kosteten Unternehmen in den Jahren 2018 und 2019 unglaubliche 5 Billionen Dollar, was mit Milliarden offengelegter Datensätze und irreparablen Reputationsschäden einherging. Für einen Angriffsvektor, der weitgehend vermeidbar ist, ist das eine alarmierende Statistik. Wenn man bedenkt, dass Maßnahmen wie die Überwachung und Schließung offener Ports (idealerweise vor der Bereitstellung), die Suche nach unbekannten Containern und die Kontrolle übermäßiger Serverlast die Lawineneffekte von Bedrohungen wie Doki verhindern könnten, ist das ein kleiner Preis für ein sicheres Gefühl.

Unternehmensweites Sicherheitsbewusstsein ist entscheidend. Für jeden, der am SDLC beteiligt ist, ist die Einhaltung bewährter Sicherheitspraktiken nicht verhandelbar. Die besten Unternehmen setzen auf einen soliden DevSecOps-Prozess, bei dem die Verantwortung für Sicherheit geteilt wird und sowohl Entwickler als auch AppSec-Profis über das Wissen und die Tools verfügen, um gängige Schwachstellen in Software und kritischer Infrastruktur zu verhindern.
Möchten Sie als sicherheitsbewusster Cloud-Engineer durchstarten? Testen Sie jetzt Ihre Fähigkeiten.