Una investigación realizada por JFrog reveló que tres millones de repositorios de Docker Hub han sido afectados por campañas de malware a gran escala desde el año 2021. Estos ataques permitieron la implantación de millones de archivos maliciosos en la plataforma.
Contenido malicioso en repositorios públicos
Según los investigadores, alrededor del 20% de los repositorios públicos de Docker Hub albergaban contenido malicioso. Este contenido variaba desde mensajes de spam rudimentarios que promocionaban contenido pirateado hasta malware y phishing más sofisticados.
Funcionalidad de documentación explotada por atacantes
Docker Hub introdujo una función de documentación para ayudar a los usuarios a encontrar el contenedor adecuado. Esta funcionalidad permitió a los mantenedores de repositorios agregar descripciones breves y documentación en formato HTML, que se mostraba en la página principal del repositorio.
Repositorios sin imágenes y su propósito oculto
JFrog descubrió que alrededor de 4,6 millones de repositorios alojados en Docker Hub no tenían imágenes. Esto representa el 30% de todos los repositorios públicos de la plataforma. Estos repositorios sin contenido útil se utilizaban con fines maliciosos.
Identificación de tres campañas principales
Una investigación más profunda reveló que la mayoría de estos repositorios sin imágenes (aproximadamente 2,81 millones) estaban relacionados con tres campañas de malware a gran escala. JFrog pudo vincular estos repositorios con las campañas y crear firmas para identificarlos.
Campaña «Downloader»
La campaña «Downloader» se refiere a un conjunto de repositorios que contienen textos SEO generados automáticamente. Esta campaña operó en dos rondas distintas, aunque ambas utilizaron una carga útil maliciosa idéntica.
Campaña «eBook phishing»
La campaña de phishing de libros electrónicos consta de casi un millón de repositorios creados a mediados de 2021. Todos ofrecen descargas gratuitas de libros electrónicos que contienen descripciones y enlaces generados aleatoriamente.
Campaña «Website SEO»
La tercera campaña, denominada «Website SEO», se diferenció por su frecuencia de carga. En lugar de cargar una gran cantidad de repositorios, esta campaña cargó una pequeña cantidad cada día durante tres años.
Acciones tomadas por JFrog
JFrog reveló sus hallazgos al equipo de seguridad de Docker y eliminó los 3,2 millones de repositorios sospechosos que albergaban contenido malicioso. Los indicadores de compromiso utilizados en las campañas también están disponibles en el informe.