TeamPCP setzt in Kubernetes-Angriffen Wiper gegen iranische Systeme ein

Zusammenfassung

Die Hackergruppe TeamPCP nimmt laut dem Anwendungssicherheits-Unternehmen Aikido gezielt Kubernetes-Cluster ins Visier. Ein bösartiges Skript prüft dabei die betroffenen Systeme und verfolgt zwei unterschiedliche Ziele: Erkennt es eine auf den Iran hindeutende Konfiguration, löscht es alle Maschinen; in anderen Regionen installiert es stattdessen eine Backdoor. Die Forscher von Aikido ordnen die Kampagne TeamPCP zu, weil sie denselben Command-and-Control-Server (C2), denselben Backdoor-Code und denselben Ablagepfad nutzt wie die zuvor dokumentierte CanisterWorm-Kampagne. Dieselbe Gruppe wird für den jüngsten Lieferketten-Angriff auf den Schwachstellen-Scanner Trivy sowie für die NPM-gestützte Kampagne CanisterWorm verantwortlich gemacht, die am 20. März begann. Neu an der aktuellen Kampagne ist nach Angaben von Aikido eine zerstörerische Komponente, die sich speziell gegen iranische Systeme richtet. Während die seitliche Ausbreitung über Kubernetes-DaemonSets dem bekannten Vorgehen der Gruppe entspricht, hat Aikido einen solchen geopolitisch ausgerichteten, destruktiven Payload bei TeamPCP nach eigenen Worten zuvor nicht beobachtet. Die Malware zerstört dabei jede Maschine, die zur iranischen Zeitzone und Spracheinstellung passt – unabhängig davon, ob Kubernetes vorhanden ist oder nicht.

Aikido zufolge verwendet die Kampagne exakt denselben ICP-Canister (tdtqy-oyaaa-aaaae-af2dq-cai[.]raw[.]icp0[.]io), der bereits für CanisterWorm dokumentiert wurde – ebenso wie denselben C2-Server, denselben Backdoor-Code und denselben Ablagepfad /tmp/pglog. Diese Übereinstimmungen begründen die Zuordnung zu TeamPCP.

Das Skript unterscheidet je nach erkanntem System zwischen mehreren Verhaltensweisen. Werden iranische Zeitzone und Spracheinstellung erkannt und ist Kubernetes vorhanden, bringt die Malware im Namespace ‘kube-system’ ein DaemonSet namens ‘Host-provisioner-iran’ aus. Es nutzt privilegierte Container und bindet das Wurzeldateisystem des Hosts unter /mnt/host ein. Jeder Pod startet einen Alpine-Container namens ‘kamikaze’, der sämtliche Verzeichnisse der obersten Ebene auf dem Host löscht und anschließend einen Neustart erzwingt.

Ist Kubernetes vorhanden, das System aber nicht als iranisch eingestuft, verteilt die Malware ein DaemonSet namens ‘host-provisioner-std’ – ebenfalls mit privilegierten Containern und eingebundenem Host-Dateisystem. Statt Daten zu löschen, schreibt hier jeder Pod eine Python-Backdoor auf das Host-Dateisystem und richtet sie als systemd-Dienst ein, sodass sie auf jedem Knoten dauerhaft bestehen bleibt.

Auf iranischen Systemen ohne Kubernetes löscht die Malware jede für den aktuellen Benutzer erreichbare Datei einschließlich der Systemdaten, indem sie den Befehl rm -rf / mit der Option –no-preserve-root ausführt. Fehlen Root-Rechte, versucht sie es über passwortloses sudo. Trifft keine der Bedingungen zu, bleibt das Schadprogramm untätig und beendet sich.

Eine neuere Version der Malware, die dieselbe ICP-Canister-Backdoor nutzt, verzichtet laut Aikido auf die seitliche Ausbreitung über Kubernetes. Stattdessen verbreitet sie sich über SSH: Sie durchsucht Authentifizierungsprotokolle nach gültigen Zugangsdaten und setzt gestohlene private Schlüssel ein.

Als auffällige Anzeichen dieser Aktivität nennen die Forscher ausgehende SSH-Verbindungen mit ‘StrictHostKeyChecking=no’ von kompromittierten Hosts, ausgehende Verbindungen zur Docker-API auf Port 2375 im lokalen Subnetz sowie privilegierte Alpine-Container über eine nicht authentifizierte Docker-API, bei denen / als hostPath eingebunden ist.

TeamPCP setzt in Kubernetes-Angriffen Wiper gegen iranische Systeme ein

Ähnliche Artikel

Neueste Artikel