Muerte por Doki: una nueva vulnerabilidad de Docker con graves consecuencias (y qué puedes hacer al respecto)

En la onomatopeya japonesa, la expresión "doki-doki" representa el sonido de un corazón que late con fuerza... que es exactamente lo que podrían sentir los miembros del equipo de seguridad si su servidor Docker se infecta con Doki, una nueva vulnerabilidad que proporciona una puerta trasera para la inyección de código malicioso y mucho más. Un nombre muy apropiado, por decir lo menos.

A medida que nuestra dependencia de la infraestructura en la nube aumenta, la necesidad de precisión y eficacia escalable en las mejores prácticas de seguridad se vuelve vital. Esto debe ir mucho más allá de lo mínimo indispensable para el despliegue seguro de aplicaciones, incorporando medidas personalizadas de seguridad de contenedores que se conozcan y apliquen a lo largo de todo el ciclo de vida de desarrollo de software (SDLC).

Los ciberataques son cada vez más frecuentes y las amenazas que afectan a la infraestructura basada en Linux son más comunes, con el objetivo final de abrir un cofre lleno de datos confidenciales almacenados en la nube. Doki busca hacer precisamente eso, y su uso de múltiples tecnologías para permanecer oculto, potente y eficaz no tiene precedentes en el ámbito de los problemas de seguridad basados en Docker.

¿Qué es Doki y cómo funciona?

Como es habitual en muchas aplicaciones comprometidas, la configuración de seguridad incorrecta desempeña un papel inaceptablemente importante en la forma en que se vulneró el software. En el caso específico de Docker, una API de Docker Engine mal configurada ha resultado ser un terreno fértil para los atacantes. La botnet Ngrok, dedicada a la criptominería, ha estado buscando servidores Docker inseguros desde 2018, creando sus propios contenedores y ejecutando malware en la infraestructura de la víctima.

Doki es una versión más astuta y maliciosa de este malware, que logra su éxito a través de la misma botnet y explotando el mismo vector de ataque: una configuración incorrecta de la API, algo que debería haberse solucionado mucho antes de cualquier despliegue de código o exposición pública del servidor. Doki utiliza la cadena de bloques de la criptomoneda satírica favorita de todos, Dogecoin, para actuar como una puerta trasera prácticamente indetectable. Hasta la fecha, se ha deslizado sin dejar apenas rastro desde enero.

El malware abusa esencialmente de una billetera de cadena de bloques para generar nombres de dominio de comando y control (C2), lo cual no es nuevo en sí mismo, pero Doki proporciona una capacidad continua de ejecución remota de código en un servidor infectado, abriendo el camino a una serie de ataques dañinos basados en malware, como el ransomware y los ataques DDoS. Es implacable, como un "Doge con un hueso", por así decirlo. El excelente equipo de Intezer tiene un informe completo sobre toda la amenaza y su extensa carga útil.

Cómo detectar una ruta de acceso de Doki en el código.

El hecho de que Doki sea una puerta trasera que opera en una red de cadena de bloques descentralizada, empleando técnicas de escape de contenedores rápidas y escurridizas para cubrir sus huellas, acceder a más áreas del host y seguir propagando la infección, lo convierte en una pesadilla tanto para los desarrolladores como para los equipos de seguridad.

Aun así, Doki no puede infectar un servidor Docker que tenga puertos API seguros. Configurar mal estos puertos durante la producción es un error con consecuencias de gran alcance, pero una formación eficaz tanto en concienciación sobre seguridad como en habilidades prácticas de codificación segura para desarrolladores en la nube es una solución relativamente "sencilla" frente a un malware tan complejo y contundente.

Echemos un vistazo a este ejemplo de una API de Docker insegura, donde Doki podría encontrar una forma de entrar y empezar a propagarse:

dockerd -H tcp://0.0.0.0:2375

¿Puedes detectar las configuraciones incorrectas? La versión segura se ve así:

dockerd -H tcp://0.0.0.0:2376 --tlsverify --tlscacert=/etc/ssl/certs/ca.pem --tlscert=/etc/ssl/certs/server-cert.pem --tlskey=/etc/ssl/private/server-key.pem

En el ejemplo inseguro, la API de Docker Engine escucha en el puerto TCP 2375 y aceptará cualquier solicitud de conexión, por lo que está disponible para cualquiera que acceda al servidor Docker.

En el ejemplo seguro, la API de Docker Engine se ha configurado para utilizar la validación de certificados TLS y solo aceptará conexiones de clientes que proporcionen un certificado de confianza para su CA.

Tenemos un conjunto totalmente nuevo de desafíos gamificados para ayudar a los desarrolladores a identificar y solucionar la causa raíz de una infección por Doki, y puedes jugar uno aquí:

La infraestructura en la nube segura es un trabajo de equipo.

Las configuraciones erróneas en la nube costaron a las organizaciones la asombrosa cifra de 5 billones de dólares entre 2018 y 2019, lo que supuso miles de millones de registros expuestos y daños irreparables a la reputación. Para un vector de ataque que es en gran medida evitable, se trata de una estadística bastante alarmante. Y pensar que medidas como supervisar y corregir puertos expuestos (idealmente antes del despliegue), buscar contenedores desconocidos y vigilar cualquier carga excesiva del servidor podrían detener el efecto bola de nieve de algo como Doki; bueno, es un precio pequeño a pagar por la tranquilidad.

La concienciación sobre seguridad en toda la empresa es fundamental, y para cada persona involucrada en el SDLC, operar con las mejores prácticas de seguridad no es negociable. Las mejores organizaciones están comprometidas con un proceso DevSecOps sólido, donde la responsabilidad de la seguridad es compartida, y tanto los desarrolladores como los profesionales de AppSec tienen el conocimiento y las herramientas para evitar que las vulnerabilidades comunes lleguen al software y a la infraestructura vital.
¿Quieres empezar como un ingeniero de nube superpotenciado y consciente de la seguridad? Empieza a poner a prueba tus habilidades ahora.