Los expertos de Kaspersky han identificado una campaña maliciosa que aprovecha APIs expuestas de Docker para comprometer entornos contenerizados. Esta operación destaca por su alto nivel de automatización, su capacidad de propagación y una arquitectura distribuida que evita el uso de servidores de control tradicionales.
Los atacantes utilizan imágenes legítimas como base para desplegar contenedores maliciosos, con el objetivo de instalar un software de minería de criptomonedas. Una vez dentro, el malware se instala automáticamente, mantiene la persistencia, busca otros sistemas vulnerables y se comunica con otros entornos comprometidos para continuar su propagación.
Además, se han identificado técnicas de evasión avanzadas: los componentes maliciosos están diseñados para hacerse pasar por procesos legítimos y camuflar su actividad dentro dl tráfico normal del contenedor. Esta sofisticación dificulta su detección tanto por soluciones automatizadas como por administradores humanos.
La ciberamenaza fue descubierta mientras realizaban una revisión para ver si alguien había entrado ilegalmente en los sistemas de la empresa. Según los expertos, representa un riesgo significativo para empresas de todos los tamaños que operan con infraestructuras contenerizadas, especialmente aquellas que no han implementado medidas de seguridad adecuadas para proteger sus APIs de Docker.
Propagación autónoma sin servidor de control
A diferencia de otras campañas similares que dependen de infraestructuras centralizadas para el control de los sistemas infectados, esta operación emplea una arquitectura peer-to-peer. Cada contenedor comprometido actúa como un nodo independiente, escaneando nuevas direcciones IP, identificando otras APIs de Docker expuestas y replicando el ataque sin necesidad de conectarse a un servidor externo. Este enfoque no solo mejora la resiliencia de la campaña frente a medidas de mitigación, sino que también dificulta su detección.
“Este tipo de ataques demuestran cómo una configuración insegura o un servicio mal protegido puede convertirse en una puerta abierta para una amenaza compleja. Los entornos contenerizados y las infraestructuras digitales modernas requieren una seguridad activa, no solo reactiva, especialmente si se utilizan en desarrollos críticos o servicios en la nube”, explica Marc Rivero, Lead Security Researcher de Kaspersky.
Para mitigar riesgos asociados a este tipo de ciberamenazas, los expertos recomiendan:
- Evitar exponer servicios a internet innecesariamente (por ejemplo, APIs de Docker o interfaces administrativas) y protegerlos siempre con cifrado (TLS) y autenticación fuerte.
- Implementar soluciones especializadas para entornos contenerizados que protejan desde el desarrollo hasta la ejecución de contenedores.
- Detectar ciberamenazas avanzadas mediante evaluaciones de compromiso que permitan identificar ataques ya activos o ciberamenazas pasadas que hayan pasado desapercibidas.
- Adoptar servicios gestionados de seguridad que ayuden a contener, investigar y mitigar ataques incluso si el equipo de seguridad interno es limitado.
- Formar al personal técnico y de TI en buenas prácticas de seguridad en entornos DevOps, automatización y nube.
