恶意shell脚本窃取AWS、Docker凭证分析

这篇文章主要介绍“恶意shell脚本窃取AWS、Docker凭证分析”，在日常操作中，相信很多人在恶意shell脚本窃取AWS、Docker凭证分析问题上存在疑惑，小编查阅了各式资料，整理出简单好用的操作方法，希望对大家解答”恶意shell脚本窃取AWS、Docker凭证分析”的疑惑有所帮助！接下来，请跟着小编一起来学习吧！

在做网站、成都网站制作过程中，需要针对客户的行业特点、产品特性、目标受众和市场情况进行定位分析，以确定网站的风格、色彩、版式、交互等方面的设计方向。成都创新互联公司还需要根据客户的需求进行功能模块的开发和设计，包括内容管理、前台展示、用户权限管理、数据统计和安全保护等功能。

研究人员近期发现一起利用shell脚本来执行恶意活动的攻击活动。基于之前的攻击活动，这些恶意脚本主要是用来部署加密货币挖矿机。但是最近的攻击活动中，除了用于加密货币挖矿机下载器外，还有其他的目的。从样本中使用的C2 URL、字符串、加密密钥、语言，研究人员推断出最新的攻击活动来自于TeamTNT。

该恶意shell 脚本是用bash语言开发的。与类似的攻击活动相比，样本中代码风格很好，是根据描述性的函数名来组织的：

图 1. 表明函数功能的代码段

Shell脚本调用的第一个函数是用于准备环境，确保下一阶段所需的资源、攻击、计算机电量等。此外，还会检查安全解决方案的存在。

Shell脚本还会下载一些用于下一步攻击的灰色工具。这些工具会进行网络扫描和映射，用于检索和映射有漏洞的容器API。

环境设置好之后，shell脚本会检索敏感信息、获取这些信息的副本，然后上传到C2服务器。

图 2. 窃取AWS凭证的代码段

在之前发现的窃取AWS凭证的样本中，只会检查是否存在机密性文件，并上传。在新样本中，开发者新加入了2个路径。一个是请求AWS 元数据服务，并尝试从中获取凭证。另一个是检查AWS凭证的环境变量，如果存在，就上传到C2服务器。此外，新样本不仅仅窃取AWS凭证，还会窃取Docker API凭证。

图 3. 窃取Docker API凭证的代码段

在窃取凭证和部署加密货币挖矿机中间，脚本还还释放另一个base64编码的样本。这是为了在系统上创建sudo权限的用户，并使用SSH-RSA密钥来确保可以连接到受感染的机器并维持访问。

图 4. 表明用户创建的代码段

然后下载、部署和执行加密货币挖矿机。该攻击活动中最近加入的最后一步是部署反向shell。

截止目前，该攻击活动主要攻击容器平台。最近创建的患有恶意样本的容器镜像下载量已经超过2000。

图 5. 含有恶意样本的容器镜像截图

到此，关于“恶意shell脚本窃取AWS、Docker凭证分析”的学习就结束了，希望能够解决大家的疑惑。理论与实践的搭配能更好的帮助大家学习，快去试试吧！若想继续学习更多相关知识，请继续关注创新互联网站，小编会继续努力为大家带来更多实用的文章！