Doki : une nouvelle vulnérabilité Docker redoutable (et comment vous en protéger)

Dans les onomatopées japonaises, l'expression « doki-doki » évoque le son d'un cœur qui bat la chamade... ce qui correspond exactement à ce que peuvent ressentir les équipes de sécurité si leur serveur Docker est infecté par Doki, une nouvelle vulnérabilité offrant une porte dérobée pour l'injection de code malveillant, et bien plus encore. Un nom tout trouvé, c'est le moins que l'on puisse dire.

À mesure que nous devenons de plus en plus dépendants des infrastructures cloud, le besoin de précision et d'efficacité évolutive des meilleures pratiques de sécurité devient vital. Cela doit aller bien au-delà du strict minimum pour le déploiement sécurisé d'applications, avec des mesures personnalisées de sécurité des conteneurs intégrées et déployées tout au long du cycle de vie du développement logiciel (SDLC).

Les cyberattaques sont de plus en plus fréquentes et les menaces visant les infrastructures Linux se multiplient, avec pour objectif final de mettre la main sur un trésor de données sensibles stockées dans le cloud. Doki vise précisément cet objectif, et son utilisation de multiples technologies pour rester indétectable, puissant et efficace est sans précédent dans le domaine des problèmes de sécurité liés à Docker.

Qu'est-ce que Doki et comment fonctionne-t-il ?

Comme c'est souvent le cas pour de nombreuses applications compromises, une mauvaise configuration de sécurité joue un rôle démesuré dans les failles logicielles. Pour Docker en particulier, une API Docker Engine mal configurée s'est révélée être une aubaine pour les attaquants. Le botnet Ngrok, spécialisé dans le cryptominage, traque les serveurs Docker non sécurisés depuis 2018, lançant ses propres conteneurs et exécutant des logiciels malveillants sur l'infrastructure de la victime.

Doki est une version plus rusée et malveillante de ce malware, qui réussit grâce au même botnet exploitant le même vecteur d'attaque : une mauvaise configuration de l'API, qui aurait dû être corrigée bien avant tout déploiement de code ou toute exposition publique du serveur. Doki utilise la blockchain de la cryptomonnaie satirique préférée de tous, le Dogecoin, pour agir comme une porte dérobée pratiquement indétectable. À ce jour, il sévit sans laisser beaucoup de traces depuis janvier.

Le malware abuse essentiellement d'un portefeuille blockchain pour générer des noms de domaine de commande et de contrôle (C2), ce qui n'est pas nouveau en soi, mais Doki offre une capacité continue d'exécution de code à distance sur un serveur infecté, ouvrant la voie à une série d'attaques malveillantes dévastatrices, comme les ransomwares et les attaques DDoS. Il est implacable, comme un « Doge avec un os », si l'on peut dire. Les experts d'Intezer ont publié un rapport complet sur cette menace et sa charge utile étendue.

Repérer une faille Doki dans le code.

Le fait que Doki soit une porte dérobée opérant sur un réseau blockchain décentralisé, utilisant des techniques d'évasion de conteneur rapides et furtives pour couvrir ses traces, accéder à davantage de zones de l'hôte et continuer à propager l'infection, en fait un véritable cauchemar pour les développeurs comme pour les équipes de sécurité.

Pourtant, Doki ne peut pas infecter un serveur Docker dont les ports API sont sécurisés. Mal configurer ces derniers en production est une erreur aux conséquences considérables, mais une formation efficace à la sensibilisation à la sécurité et aux compétences pratiques de codage sécurisé pour les développeurs cloud constitue une solution relativement « simple » face à un malware aussi complexe et redoutable.

Examinons cet exemple d'API Docker non sécurisée, où Doki pourrait s'infiltrer et commencer à se propager :

dockerd -H tcp://0.0.0.0:2375

Pouvez-vous repérer les erreurs de configuration ? La version sécurisée ressemble à ceci :

dockerd -H tcp://0.0.0.0:2376 --tlsverify --tlscacert=/etc/ssl/certs/ca.pem --tlscert=/etc/ssl/certs/server-cert.pem --tlskey=/etc/ssl/private/server-key.pem

Dans l'exemple non sécurisé, l'API Docker Engine écoute sur le port TCP 2375 et accepte toute demande de connexion ; elle est donc accessible à quiconque atteint le serveur Docker.

Dans l'exemple sécurisé, l'API Docker Engine a été configurée pour utiliser la validation par certificat TLS et n'acceptera que les connexions provenant de clients fournissant un certificat approuvé par votre autorité de certification (CA).

Nous proposons une toute nouvelle série de défis ludiques pour aider les développeurs à identifier et à corriger la cause profonde d'une infection Doki. Vous pouvez en essayer un ici :

La sécurité des infrastructures cloud est un travail d'équipe.

Les erreurs de configuration cloud ont coûté aux entreprises la somme astronomique de 5 000 milliards de dollars entre 2018 et 2019, entraînant l'exposition de milliards de données et des dommages irréparables à leur réputation. Pour un vecteur d'attaque largement évitable, c'est une statistique alarmante. Quand on sait que des mesures simples comme la surveillance et la correction des ports exposés (idéalement avant le déploiement), la détection des conteneurs inconnus et le suivi des charges serveur excessives pourraient stopper les dégâts en cascade d'une menace comme Doki, c'est un bien faible prix à payer pour avoir l'esprit tranquille.

La sensibilisation à la sécurité à l'échelle de l'entreprise est cruciale, et pour toute personne impliquée dans le cycle de vie du développement logiciel (SDLC), l'application des meilleures pratiques de sécurité n'est pas négociable. Les organisations les plus performantes s'engagent dans un processus DevSecOps solide, où la responsabilité de la sécurité est partagée et où les développeurs comme les experts en sécurité applicative disposent des connaissances et des outils nécessaires pour empêcher les vulnérabilités courantes de s'infiltrer dans les logiciels et les infrastructures vitales.
Vous souhaitez devenir un ingénieur cloud averti et ultra-performant ? Testez vos compétences dès maintenant.