Novo malware explora APIs Docker expostas para acesso root persistente

Um novo tipo de malware foi identificado na infraestrutura de honeypots da Akamai Hunt, visando APIs Docker mal configuradas para obter acesso root completo e estabelecer persistência a longo prazo. Observado pela primeira vez em agosto de 2025, essa variante se diferencia de descobertas anteriores ao bloquear o acesso de outros atacantes e incorporar múltiplas ferramentas de infecção, preparando o terreno para uma possível botnet distribuída.

O ataque se inicia com um pedido HTTP POST à API remota do daemon Docker, instruindo-o a criar um contêiner Alpine Linux com o sistema de arquivos do host montado. O contêiner executa um comando shell codificado em Base64 que instala ferramentas como curl e Tor, baixa um script secundário de um serviço oculto Tor e altera a configuração SSH do host para permitir login root e adicionar uma chave pública maliciosa para acesso remoto.

Após garantir a persistência, o contêiner se reporta ao servidor de comando e controle (C2) via Tor, baixa e executa um binário que descompacta um dropper baseado em Go, que embute ferramentas adicionais. O malware também busca outras APIs Docker expostas para propagar a infecção. A detecção pode ser feita monitorando a criação de contêineres que instalam gerenciadores de pacotes e executam comandos suspeitos, além de alterações nas regras de firewall. Estratégias de mitigação incluem isolar hosts Docker e restringir a exposição da API Docker a redes de gerenciamento confiáveis.

Fonte: https://cyberpress.org/docker-api-malware/

Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).