恶意shell脚本窃取AWS、Docker凭证分析

这篇文章主要介绍“恶意shell脚本窃取AWS、Docker凭证分析”，在日常操作中，相信很多人在恶意shell脚本窃取AWS、Docker凭证分析问题上存在疑惑，小编查阅了各式资料，整理出简单好用的操作方法，希望对大家解答”恶意shell脚本窃取AWS、Docker凭证分析”的疑惑有所帮助！接下来，请跟着小编一起来学习吧！

研究人员近期发现一起利用shell脚本来执行恶意活动的攻击活动。基于之前的攻击活动，这些恶意脚本主要是用来部署加密货币挖矿机。但是最近的攻击活动中，除了用于加密货币挖矿机下载器外，还有其他的目的。从样本中使用的C2 URL、字符串、加密密钥、语言，研究人员推断出最新的攻击活动来自于TeamTNT。

该恶意shell 脚本是用bash语言开发的。与类似的攻击活动相比，样本中代码风格很好，是根据描述性的函数名来组织的：

图 1. 表明函数功能的代码段

Shell脚本调用的第一个函数是用于准备环境，确保下一阶段所需的资源、攻击、计算机电量等。此外，还会检查安全解决方案的存在。

Shell脚本还会下载一些用于下一步攻击的灰色工具。这些工具会进行网络扫描和映射，用于检索和映射有漏洞的容器API。

环境设置好之后，shell脚本会检索敏感信息、获取这些信息的副本，然后上传到C2服务器。

图 2. 窃取AWS凭证的代码段

在之前发现的窃取AWS凭证的样本中，只会检查是否存在机密性文件，并上传。在新样本中，开发者新加入了2个路径。一个是请求AWS 元数据服务，并尝试从中获取凭证。另一个是检查AWS凭证的环境变量，如果存在，就上传到C2服务器。此外，新样本不仅仅窃取AWS凭证，还会窃取Docker API凭证。

图 3. 窃取Docker API凭证的代码段

在窃取凭证和部署加密货币挖矿机中间，脚本还还释放另一个base64编码的样本。这是为了在系统上创建sudo权限的用户，并使用SSH-RSA密钥来确保可以连接到受感染的机器并维持访问。

图 4. 表明用户创建的代码段

然后下载、部署和执行加密货币挖矿机。该攻击活动中最近加入的最后一步是部署反向shell。

截止目前，该攻击活动主要攻击容器平台。最近创建的患有恶意样本的容器镜像下载量已经超过2000。

图 5. 含有恶意样本的容器镜像截图

到此，关于“恶意shell脚本窃取AWS、Docker凭证分析”的学习就结束了，希望能够解决大家的疑惑。理论与实践的搭配能更好的帮助大家学习，快去试试吧！若想继续学习更多相关知识，请继续关注编程网网站，小编会继续努力为大家带来更多实用的文章！