Специалисты Palo Alto Networks обнаружили первое вредоносное ПО, нацеленное на контейнеры Windows, используемые в кластерах Kubernetes — Siloscape пытается «сбежать» из контейнера, ищет и открывает бэкдоры в кластере.
Дэниел Призмант (Daniel Prizmant), старший научный сотрудник отдела анализа угроз Palo Alto Networks Unit 42 отметил, что зловред использует известные уязвимости в распространенных облачных приложениях для проникновения в Windows-контейнер. После этого он пытается прорваться за пределы контейнера, чтобы взять под контроль уже хост-систему. По словам специалиста, для выхода из контейнера используется сразу несколько малоизвестных методов.
Вредоносная программа проверяет, есть ли у скомпрометированного узла права, необходимые для создания новых контейнеров Kubernetes. Если таковые имеются, то Siloscape подключается к командному серверу по сети Tor и выполняет присланные инструкции. При этом сам Siloscape не нарушает работу контейнеров или хоста, а лишь предоставляет злоумышленникам бэкдоры.
По данным Unit 42, Siloscape является лишь частью более широкой кампании, ориентированной на корпоративные облачные среды. При этом атаки идут уже около года. Что касается рекомендаций для системных администраторов, то они просты — нужно правильно настраивать кластер Kubernetes и права доступа. Рекомендуется ограничить привилегии каждого узла, а также не запускать в контейнере Windows ничего, что требует прав администратора.