Peretas penambangan kripto menyerang kluster Kubernetes

Peneliti keamanan telah memperingatkan serangan lanjutan peretas terhadap cluster Kubernetes yang menjalankan instance pembelajaran mesin (ML) Kubeflow dengan memasang wadah berbahaya yang menambang cryptocurrency, seperti Monero dan Ethereum.

Menurut Peneliti Keamanan Senior Microsoft Yossi Weizman, serangan dimulai pada akhir bulan lalu saat ia dan timnya menemukan lonjakan dalam penerapan pod pembelajaran mesin TensorFlow. Investigasi titik masuk pod mengungkapkan penyebaran yang bertujuan untuk menambang cryptocurrency.

"Ledakan penyebaran di berbagai cluster terjadi secara bersamaan. Ini menunjukkan bahwa penyerang memindai cluster tersebut terlebih dahulu dan menyimpan daftar target potensial, yang kemudian diserang pada saat yang sama," kata Weizman.

Peretas menggunakan dua gambar dalam serangan itu. Yang pertama adalah TensorFlow versi terbaru (tensorflow/tensorflow:latest), dan yang kedua adalah versi terbaru dengan dukungan GPU (tensorflow/tensorflow:latest-gpu).

Gambar-gambar itu sah tetapi menjalankan kode penambangan kripto yang berbahaya. Penyerang menyalahgunakan akses ke dasbor terpusat Kubeflow untuk membuat saluran baru. Kubeflow Pipelines adalah platform untuk men-deploy pipeline ML berdasarkan Argo Workflow. Dasbor ini terbuka ke internet alih-alih hanya terbuka untuk akses lokal.

Peretas menyebarkan setidaknya dua pod di setiap cluster:satu untuk penambangan CPU, dan yang lainnya untuk penambangan GPU. Kedua container tersebut menggunakan penambang open-source dari GitHub:Ethminer untuk container GPU dan XMRIG untuk container CPU.

Pod jahat semuanya memiliki pola nama yang sama; "sequential-pipeline-{pola acak}."

Weizman mengatakan bahwa sebagai bagian dari serangan itu, peretas menyebarkan wadah pengintaian yang menanyakan informasi tentang lingkungan, seperti informasi GPU dan CPU, sebagai persiapan untuk aktivitas penambangan. Ini juga dijalankan dari penampung TensorFlow.

"Serangan masih aktif, dan kluster Kubernetes baru yang menjalankan Kubeflow dapat disusupi," tambah Weizman.

Kampanye ini mirip dengan yang dipentaskan pada April tahun lalu. Ini juga menyalahgunakan kluster Kubernetes dalam kampanye penambangan kripto. Namun, alih-alih menggunakan Kubeflow Pipelines untuk men-deploy pipeline ML, ia menggunakan server notebook Jupyter. Kampanye ini adalah yang pertama kali diamati oleh Microsoft yang menargetkan lingkungan Kubeflow.

Weizman mengatakan bahwa organisasi yang menjalankan Kubeflow harus memastikan bahwa dasbor terpusat tidak terpapar internet secara tidak aman. Jika Kubeflow harus terekspos ke internet, pastikan Anda menggunakan otentikasi. Administrator juga harus menelusuri container yang menjalankan image TensorFlow dan memeriksa titik masuk container tersebut.