Опасные образы на Docker: вирус внутри
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
На популярном сервисе Docker Hub до сих пор могут храниться сотни вредоносных образов Linux — и это не натянутый заголовок из желтой прессы, а официальные факты. Минимум 35 образов Linux, размещённых на этой платформе, содержат зловредный бэкдор, который угрожает безопасностью разработчиков ПО и, соответственно, всех, кто доверяет им свои данные и сервисы. Речь идёт о таких радостях жизни, как захват инфраструктуры, кража информации и, возможно, шантаж в стиле «заплати или потеряешь всё».
Вся эта структура — плод труда, казалось бы, уважаемых гуру. Например, в марте 2024-го сообщество с изумлением обнаружило: в официальных релизах xz-utils (5.6.0 и 5.6.1) оказался бэкдор, встроенный в библиотеку liblzma.so. Его добавил разработчик по имени Jia Tan, два года аккуратно нарабатывавший репутацию буквально со скальпелем в руках.
Теперь специалисты компании Binarly фиксируют: заражённые пакеты xz-utils распространялись через отдельные ветки известных Linux-дистрибутивов — среди них Debian, Fedora, OpenSUSE. Ситуация абсурдная: выяснить, куда успела прокрасться злополучная библиотека, оказалось практически невозможно — масштаб поставок внушительный.
Binarly сообщает, что вредоносный код был внедрён и в образы Docker, созданные на основании этих дистрибутивов именно в период заражения. На первый взгляд, ничего удивительного: если пакет испорчен — все сделанное на его основе тоже компрометировано. Однако соль в том, что значительная часть заражённых Docker-образов до сих пор открыта для скачивания, а некоторые из них уже послужили основой для других — цепная реакция инфекции.
Причём исследователи говорят только о Debian, где они насчитали "всего-то" 35 заражённых образов. Представьте, что творится с Fedora или OpenSUSE — никто толком не знает.
Debian на запрос о чистке откровенного мусора отреагировал элегантно: образы не будут удалены, ведь они устарели и их «никто не должен использовать». Пить просроченное молоко ведь тоже никто не станет, не так ли? Поэтому оставляют эти цифровые останки как «исторические артефакты» — для потомков, изучающих зарождение цифрового апокалипсиса.
(По мотивам материалов BleepingComputer)
PEREC.RU
Docker снова в центре внимания — хранилище, которое называют домом для миллионов образов Linux, оказалось ловушкой для специалистов по информационной безопасности. Основная причина шума: сам сервис до сих пор содержит образы, заражённые бэкдором через модуль xz-utils. Что делает ситуацию особо пикантной — бэкдор встроил разработчик Jia Tan, который два года аккуратно "прописывался" в сообществе, прежде чем реализовать атаку. Это больше похоже на сюжет плохого фильма — разве что последствия абсолютно реальные: компрометация цепочек поставок ПО, уязвимость многих дистрибутивов, среди которых Debian, Fedora и OpenSUSE, и эффект заражённой матрёшки — когда один образ тянет за собой ещё десятки инфицированных.
Вишенка на торте — реакция игроков рынка. Debian спокойно отвечает: "Мол, пусть эти образы валяются в архиве — их и так никто не трогает, зачем напрягаться — пусть лежат как экспонаты для будущих поколений, изучающих, как не надо строить цепочку поставок." Если бы аналогично поступали в других отраслях — представьте себе вирусный архив просроченных лекарств. Круговорот безразличия — никто не спешит брать на себя ответственность и вычищать вредоносные данные, под предлогом их устаревания. Обычные пользователи и разработчики вынуждены держать ухо востро: ваши инструменты могут оказаться миной замедленного действия, а те, кому положено зачищать мусор — предпочитают ничего не трогать. Рецепт идеального цифрового хаоса: равнодушие плюс хитроумная многоходовка злоумышленника.
