Криптомайнер Dero массово заражает контейнеры через открытые API Docker
Эксперты Kaspersky Security Services обнаружили сложную кампанию, в рамках которой злоумышленники массово заражают контейнерные среды криптомайнером Dero. Чтобы получить доступ к таким средам, они используют открытые API Docker — программные интерфейсы для платформы с открытым исходным кодом Docker, предназначенной для контейнерной разработки. Помимо майнера, атакующие запускают сетевой червь, позволяющий продолжать цепочку заражений.
Кибератака направлена на организации, которые используют контейнерную инфраструктуру, не обеспечивая при этом строгий контроль за интерфейсами с точки зрения безопасности. В числе потенциальных мишеней — технологические компании, разработчики ПО, хостинг-провайдеры, поставщики облачных сервисов.
Сначала злоумышленники ищут API Docker, опубликованные небезопасным способом. По данным поисковой системы Shodan, в 2025 году* в среднем по миру ежемесячно публиковалось 485 API Docker на стандартных портах**, в том числе в России и странах СНГ.
Далее атака развивается следующим методом: компрометируются уже существующие контейнеры и создаются новые на основе стандартного легитимного образа Ubuntu. После их заражают двумя вредоносными компонентами — nginx и cloud. Cloud — это и есть сам криптомайнер Dero, а nginx отвечает за обеспечение его работы, а также сканирует сеть для поиска других незащищённых сред.
Доставка зловреда в рамках этой кампании происходит без участия традиционного командного сервера: заражённые контейнеры могут сканировать сеть независимо друг от друга и продолжать распространять майнер.
