JFrog 和 Docker 在短期感觉Docker Hub 贮存库被于扩散恶意网站游戏和wifi网络钓鱼诈骗犯后，联合通过减轻症状和进行清理错施。
做者：安全研究员AndreyPolkovnichenko | 恶意软件研究团队负责人BrianMoussalli | 安全研究高级总监ShacharMenashe
作为软件生态系统的重要组成部分兼合作伙伴，JFrog与Docker正在携手优化软件生态系统。JFrog安全研究团队的工作包括通过持续监控开源软件注册表，主动识别和解决潜在的恶意软件与漏洞威胁。
通过持续扫描所有主要公共存储库，JFrog在NPM、PyPI和NuGet办理表里遇到多枚他人系统包。在选文中，我们将介绍最近发现的针对Docker Hub 的三个大规模恶意软件攻击活动，这些活动将数百万个“无镜像”存储库植入到恶意元数据。研究发现，这些存储库包含的并非容器镜像（因此无法在 Docker引擎或Kubernetes集群中运行），而是恶意元数据。
Docker Hub是一个为开发者提供多样化功能的平台，它为Docker 镜像的开发、协作和分发开辟了许多可能性。目前，它是全球开发者首选的头号容器平台，托管着超过1500万个存储库。
然而，这些公共存储库的内容却出现了一个重大问题。JFrog研究显示，这些公共存储库中有近 20%（近300万个存储库！）托管过恶意内容，收录经由自功生成二维码的银行帐户导出的适用线上推广盗用知识的垃级163邮件，甚至蓄意軟件和钓鱼公司网站等无比蓄意的三维线。
虽然Docker Hub维护者目前对许多上传的存储库进行了管理，并且在披露后已经下架有隐患的存储库，但这些攻击表明，要想完全阻止恶意上传的难度巨大。
是哪个致使了本次普通攻击？
Docker Hub是Docker用于托管和分发镜像的云端注册服务。其核心概念是一个存储库，其中包含建立在容器数据基础上的文本描述和元数据。
Docker Hub 的存储库
虽然Docker存储库的核心功能是保存Docker 镜像文件的集合（一种可以通过固定名称更新和访问的应用程序），但Docker Hub引入了几项关键的增强功能，其中最重要的是社区功能。
对于公共存储库来说，Docker Hub 充当着一个社区平台的角色。用户可以通过它搜索和发现可能对其项目有用的镜像，可以对存储库进行评分和评论，帮助他人衡量可用镜像的可靠性和实用性。
为有所帮助业主搜索引擎和实用镜像软件，Docker Hub允许存储库维护者添加HTML格式的简短描述和文档，此类分析和word将表明在库的BB贝博艾弗森官方网站上。库word基本用做讲解镜像软件的应用并给予便用指引。
正规随意调节库文件实例
但若果以墨菲推论的方向去看，在网路人身安全这个领域，若果恶意的手机app制作者能够再生利用其他缺陷，那它将未能不要这样安全隐患。
JFrog 的安全研究团队发现，Docker Hub中约有460万个存储库是没有镜像的，除了存储库的文档外没有任何内容。深入检查后发现，等被传输的无iso镜像数据库库，绝基本上大多均是待着蓄意意图——鸟卵的详述页想着诱骗用户账户访问浏览钓鱼官网或全托着危险性他人手机app的官网。
在谈论各方面蓄意剪力刚刚，公司将先一个步骤原因分析察觉以上蓄意保存库的方式方法。
辨别恶性保存库
JFrog首先从 Docker Hub存储库的发布模式中发现了异常。为此，我们调出了过去五年中发布的所有“无镜像”Docker Hub存储库，按创建日期进行分组，并将其绘制成图表：
一个季度随意调节库撰写图
正如所见，Docker Hub上的活动轨迹通常比较平稳，但2021年和2023年出现了几个峰值。如果放大观察，就会发现每天的活动都很明确并且与常规工作日时间吻合。甚至在视觉上，就能注意到工作日创建的存储库较多，而周末创建的存储库较少。
放大观察2023年的异常情况
从该图是可以能够，当发现异常主题活动慢慢时，日常創建的储存库需求量会翻10倍
通过深入分析在异常日创建的存储库，发现许多存储库偏离常规。主要的偏差在于它们不包含容器镜像，只包含一个文档页面，这就导致该库不能像正常的docker镜像那样被拉取和运行，从而无法使用。
蓄意存放库例子
举列，上面视频截图中信息内容显示的存储器库在描述英文中构成了好多个跳转，优化用户数訪問一种钓鱼网 。该网 蒙骗没什么警惕心的訪問者，誓言为两人订购药方药，但其次却偷取两人的个人信誉卡信息内容。
尽管其他异样储存方式库之中留存一定程度的地域差异，还是由不同的小编正式分享，但很多是数都遵从不同的模式切换。这使小编并能新创建另一个簽名，并按款型（或活跃）对其开展分类。在对其他无镜像小软件储存方式库采用这簽名后，小编爬取了正式分享以上储存方式库的基地小编汇总，将以上小编正式分享的其他储存方式库也归纳为他人小软件。
在将以上活动内容方案绘制图在时候轴完后，就能分明地详细了解总量极大的恶性游戏恶意攻击活动内容方案的应用期。
其中两个活动在2021年上半年最为活跃，每天发布数千个存储库。下载器活动在2023年8月又进行了一次尝试。网站SEO活动的运作方式与之不同，三年来始终坚持每天推送少量存储库。
每星期报名的不法贮存库（按项目）
在DockerCon 2023 召开时，Docker Hub已包含1500万个存储库，因此我们将使用这个数字作为Docker Hub存储库的基准总数。
发布到 Docker Hub 的无系统镜像存储库总数为460万，占所有公共存储库的30%。我们能够将其中的281万个（约占19%）存储库与这些大型恶意攻击活动联系起来。
除了已发现的大型活动外，在分析中还发现了一些较小的存储库。这些活动似乎主要集中在垃圾邮件/搜索引擎优化方面，暂时无法对这些活动的所有变化形态进行分类。这些较小的“活动”每个包含不到1000个软件包。在分类时，我们将这些较小的数据集归入了一个标有“其他可疑”的组别。
DockerHub存储库分类
恶性存贮库系统镜像规划（按移动）：
由此可以总结出恶意存储库有不同的传播方式。“下载器”和“电子书钓鱼”活动会在短时间内分批创建虚假存储库，而“网站SEO”活动则会在整个时间段内每天创建多个存储库，并在每个存储库中使用单个用户。
现在，通过了解在 Docker Hub 上运行的主要恶意软件活动，接下来将深入回顾一下它们的策略和手段。
1. “下载安装器”活动组织
2. “光电书钓鱼”生活
3. “站点SEO”促销活动
Docker Hub恶性图片软件活动组织分享
1. “在线下载器”活动方案
免费下载器活動随意调节库生长
属于该活动的存储库包含自动生成的文本，这些文本含有搜索引擎优化（SEO）文本，会建议下载盗版内容或视频游戏作弊器。此外，这些文本还包括所谓“广告软件”的链接。
该促销活动分2轮完成（约2021年和2023年），两轮都使用了完全相同的恶意载荷（见以下分析）。
含带不法图片软件资源下载地址的不法随意调节库范本
2021年活动——伪装成URL缩短器的恶意域
该活动中使用的大多数URL都假装使用已知的URL缩短器（例如 tinyurl.com），这与2021年发现的。尝试解析后发现，不同于真正的缩短器，这些恶意缩短器实际上并不对URL进行编码。相反，他们会对文本名参与编号，并在总是 开起不法资源性时将链接代码详解到各种的域。
举例在各位核查哺乳期间，URL blltly[.]com/1w1w1被重定向到https[://]failhostingpolp[.]ru/9ebeb1ba574fb8e786200c62159e77d15UtXt7/x60VKb8hl1YelOv1c5X1c0BuVzmFZ8-teb-LRH8w。但该服务器每次收到后续请求，都会触发生成一个新的 URL路径。
其唯一目的就是充当恶意CDN的代理。
同一缩短链接每次收到后续请求都会带来不同的URL，并且如果托管恶意文件的服务器被关闭，缩短器将返回一个指向新活动服务器的链接。
让我们回收了各种蓄意域的所有，并要制定好几回个和表格，表现虚假宣传性不但缩减器及其真时可信度版本升级互相的使用问题。
他人app软件促销活动用的作假网页地址缩小器
该策略于2021年制定，在反病毒公司发现链接列表并将其添加到黑名单之前，它曾短暂的起过一段时间的作用。目前，当有人试图访问上表中的链接时，浏览器和服务提供商会发出警报。
2023年活动——加强型反检测技术
第二轮活动发生在2023年，主要侧重于避免被检测。恶意存储库不再直接链接到恶意资源，而是将合法资源重定向到恶意资源。
在这些资源中有一个托管在 blogger.com 上的页面，其中包含的JavaScript代码会在 500 毫秒后重定向到恶意载荷：
另一种方法是谷歌中一个著名的开放式重定向漏洞，恶意行为者可以使用特定参数将用户重定向到带有合法 Google 链接的恶意网站。
通常情况下，Google 链接 //www[.]google[.]com/url?q=https%3A%2F%2Fexample.us%2F不易将消费者重专向培养到对象网。反而，它会表明的警报，信息提示消费者正被重专向培养到另的域。
重定向就业警告范本
不够，都可以能够移除违法参数指标 usg来禁用此警告。该参数包含一个散列值或签名，可使 google.com 自动重定向到目标网站。
该重定向指向目标网站。在编撰本报告时，目标网站是gts794[.]com 和 failhostingpolp[.]ru 。这些网站诱使受害者下载广告软件。但无论登陆页面上的名称如何，下载的文件始终是同一个带有EXE安装程序的压缩包。正如我们在AnyRun分析一下中听到的，恶意的手机app会将名叫 freehtmlvalidator.exe 的二进制文件安装到“%LOCALAPPDATA%\HTML Free Validator ”目录中。
保存器主题活动中的故意反力
“免费下载器”行为负载浅析
“资源下载器”工作的承载是一种个他人可强制执行文件名称，大都数消菌登录器将其查测为普普通通病毒。
消菌检验的服务载重
该恶意软件是用曾经风靡一时的Delphi环境的后继版本Embarcadero RAD Studio 27.0编写的：
该恶意软件使用HTTP POST请求与C2C服务器 //soneservice[.]shop/new/net_api 通信。该请求是一条JSON消息，与三字节密钥“787”XOR并用十六进制编码。
JSON 字段的编码方式相同，但使用了不同的密钥：“*2k”。了解到这一点后，我们就可以对以下请求进行解码
虚假系统软件向产品器读取的首要条ps命令是 getinitializationdata。它包含两个参数：恶意软件的唯一标识符（“lid”）和系统语言标识符。后者会告知服务器受感染系统的语言设置，从而实现定制响应。恶意软件会在所有后续服务器请求中使用这个唯一标识符。
作为回应，服务器会提供特定于 Delphi 的布局和本地化细节，这些细节会根据系统的语言设置进行适配。
随后恶意软件发送初始化请求，传递有关受感染系统的信息。这些信息包括特定于操作系统的信息、硬件、安装的浏览器、.NET框架版本、运行进程以及可用的网络适配器。服务器会返回一个指向所谓承诺软件的链接和一份offer列表。承诺的软件部分由URL和文件名表示：
恶意软件与C2服务器的通信
该回复中的“offers”部分也包含一份可执行文件链接列表。此外，它还概述了下发可执行文件必须满足的各种条件。最重要的条件有：
l excludeGeoTargeting包含不应安装恶意软件的国家的代码
l blackAvList包含杀毒应用程序的列表，也可以防止恶意软件被安装
l 速度失信名单表（样例中未关注到）
l 目标系统上必须存在Windows注册表项列表（样本中未观察到）
考虑的到恶性应用都已经向服務器发布了设备数据信息，这状态在雇主端上些许过多。前者，出现异常中还带有了二进制恶性应用中并未选择过的字符串，但是校园广告线上的关键字符串，如price、offer_id 和 advertiser_id。从这些字段中，我们可以推测该恶意软件操作是更广泛生态系统的一部分，可能涉及广告软件或变现方案，这些方案从第三方软件的分发和安装中获益。基于这一认识，我们进一步假设这些请求参数很可能是从可疑的广告网络API复制并嵌入到软件中的，第三方可能会付费分发其可执行文件。
处理该响应后，恶意软件会显示一个安装对话框，建议用户下载并安装恶意Docker Hub存储库中承诺的软件。
由故意图片软件现示的按装聊天对话框
玩家接纳后，不仅要施工承诺函的軟件外，虚假軟件还会继续下载安装很多虚假二进制程序，并借助操作命令 “SCHTASKS.exe /Create /TN <random_name> /RL HIGHEST /SC DAILY ”组织这些食品的一直制定。
2. “网上书钓鱼”活動
电子为了满足电子时代发展的需求，书钓鱼行动每日注册成功的他人储存库
2021年中期创建的近百万个存储库将Docker Hub变成了一座“盗版电子书图书馆”。这些垃圾邮件存储库均提供免费电子书下载，包含随机生成的描述和下载URL。
电商书钓鱼存储空间库例子
所有链接最终都会将用户重定向到同一个页面：//rd[.]lesac[.］
電子书使用修改密码手机网页
在承诺免费提供完整版电子书后，网站会从用户IP可用的页面集中随机选择一个页面，并将用户重定向到该页面。接下来的步骤取决于用户所在的国家，但通常会出现要求用户输入信用卡信息的表单。
毫无疑问，这一行为背后的唯一意图就是网络钓鱼，目的是窃取信用卡详细信息，并在用户不知情的情况下让其加入订阅服务。这些目标网站的页脚通常有几乎无法阅读的文字，表明订阅费用为每月40-60 欧元。
移动中的一系钓鱼停靠点
3. “网站SEO”活动
与前两次公然恶意（网络钓鱼/恶意软件下载）的活动不同，这次活动的目的并不那么明确。虽然存储库本身显然不是出于善意上传的，但其内容大多无害——只是一个随机描述字符串，其用户名由“axaaaaaxxx ”模式生成，其中a是字母，x是数字。这些用户发布的所有存储库都有一个相同的名称：网站。
该移动可能是实行真恶意网站移动之间的一种的稳定性测试测试。
该运动的注册成功编译程序也与众差异。从一下示图中我们公司能够 找到，运动头上的故意形为者在3年内时刻组建了上百万个手机储备库！这与的时候的运动差异，的时候的运动最主要的是在更短的耗时内添加无系统镜像手机储备库。在在这里运动中，进行网络攻击者只借助每家组建的大家更新一款手机储备库；而在的时候的运动中，一款大家被使用更新数万个手机储备库。
“网站SEO”活动每天注册的恶意存储库
在该的活动中，手机存储库叙述一般是主要包括有一个簡短、其实随机的且全有意无的意义的句子，该句子不主要包括很多另外的图片信息。
有些存储库包含社交网站链接，但这些链接似乎也大多包含垃圾信息，而不是恶意URL或文件。
这是那一次活動中的其他业主名，或者保存库文档文件中的涉及叙述
网站SEO活动存储库中的随机段落
在让我们都百度搜索这种朋友名时，让我们都发现了该行为还以他开放式成就新政的手机平台为计划。
在其他平台使用的网站 SEO活动用户名
向 Docker 公司披露
在本报告发布之前，JFrog 研究团队向 Docker 安全团队披露了所有发现，其中包括320万个疑似托管恶意或多余内容的存储库。Docker 安全团队迅速从 Docker Hub 中删除了所有恶意和多余的存储库。我们诚挚感谢 Docker 安全团队迅速而专业地处理了此次披露的事件，并很高兴能为 Docker 生态系统的持续安全使用做出贡献。
Docker Hub 用户如何避免类似攻击？
用户应优先使用在 Docker Hub 中标记为 “可信内容 ”的 Docker 镜像。
Docker Hub为受信任度的信息内容软件设置了独特标示，用户名在看iso镜像描素html页面时能检查许多标示。一、个标示是手官Docker镜像系统产品标签，也称之为Docker Hub库，这都是三组经历认真选用的Docker存储器库。该库一般包括由受应当依赖的有名气软文建设母研究会、进行和机构维保的随意调节库，比如说Python、Ubuntu和Node。2、个标签设计“已验证发布者”（Verified Publisher）标签，该标签分配给 Docker 验证发布者计划（Docker Verified Publisher Program）中的每个存储库。这一组包含来自商业发布者的存储库，这些发布者已通过 Docker Hub 的验证。同时，具有Sponsored OSS 标签的内容，则是由 Docker Hub 赞助的开源项目存储库。
当客户挑选安卓版库界面时，界面顶部安卓版库称谓边上会经常出现一款徵章，表达该安卓版库归于以上所述结构类型之五。
遵循这些准则将降低从存储库描述页面进入 Docker Hub 外部恶意链接的风险。本文中提到的恶意存储库没有一个被标记为 “可信内容”。
汇报总结
与直接针对开发者和组织的典型攻击不同，本案例中的攻击者试图利用Docker Hub的平台信誉，这使得识别网络钓鱼和恶意软件安装意图的过程变得更加困难。
近300万个恶意存储库（其中一些已活跃三年多）凸显了攻击者对 Docker Hub 平台的持续滥用，以及对此类平台进行持续监控的必要性。
人工智能技术网 倡导尊重与保护知识产权。如发现本站文章存在版权等问题，烦请30天内提供版权疑问、身份证明、版权证明、联系方式等发邮件至1851688011@qq.com我们将及时沟通与处理。！：BB贝博艾弗森官方网站 > 大数据 » JFrog安全研究表明：Docker Hub遭受协同攻击，植入数百万恶意存储库