Los expertos de Kaspersky han identificado una campaña maliciosa que aprovecha APIs expuestas de Docker para comprometer entornos contenerizados. Esta operación destaca por su alto nivel de automatización, su capacidad de propagación y una arquitectura distribuida que evita el uso de servidores de control tradicionales.

Los atacantes utilizan imágenes legítimas como base para desplegar contenedores maliciosos, con el objetivo de instalar un software de minería de criptomonedas. Una vez dentro, el malware se instala automáticamente, mantiene la persistencia, busca otros sistemas vulnerables y se comunica con otros entornos comprometidos para continuar su propagación.

Además, se han identificado técnicas de evasión avanzadas: los componentes maliciosos están diseñados para hacerse pasar por procesos legítimos y camuflar su actividad dentro del tráfico normal del contenedor. Esta sofisticación dificulta su detección tanto por soluciones automatizadas como por administradores humanos.

La ciberamenaza fue descubierta mientras realizaban una revisión para ver si alguien había entrado ilegalmente en los sistemas de la empresa. Según los expertos, representa un riesgo significativo para empresas de todos los tamaños que operan con infraestructuras contenerizadas, especialmente aquellas que no han implementado medidas de seguridad adecuadas para proteger sus APIs de Docker.

Propagación autónoma sin servidor de control

A diferencia de otras campañas similares que dependen de infraestructuras centralizadas para el control de los sistemas infectados, esta operación emplea una arquitectura peer-to-peer. Cada contenedor comprometido actúa como un nodo independiente, escaneando nuevas direcciones IP, identificando otras APIs de Docker expuestas y replicando el ataque sin necesidad de conectarse a un servidor externo. Este enfoque no solo mejora la resiliencia de la campaña frente a medidas de mitigación, sino que también dificulta su detección.

“Este tipo de ataques demuestran cómo una configuración insegura o un servicio mal protegido puede convertirse en una puerta abierta para una amenaza compleja. Los entornos contenerizados y las infraestructuras digitales modernas requieren una seguridad activa, no solo reactiva, especialmente si se utilizan en desarrollos críticos o servicios en la nube”, explica Marc Rivero, Lead Security Researcher de Kaspersky.