Utilizzare un exploit Docker pubblicato per ottenere accesso root ed eseguire uno script di mining bitcoin

Questo utilizza due librerie open source:

• nightminer di @ricmoo per il mining bitcoin in python
• RunC-CVE-2019-5736 di @twistlock per l'escape da Docker

Requisiti di sistema

È stato testato su Kali Linux, con Docker versione 18.03.0 e RunC versione 1.0.0-rc5.

Come eseguirlo

1. Clonare il repository e fare cd al suo interno.
2. Eseguire ./setup.
3. Modificare le impostazioni in config.txt con il proprio nome utente, password e indirizzo per il server di mining.
4. Costruire il container Docker usando: docker build -t hack .
5. Eseguire il container Docker malevolo usando: docker run --rm hack
6. Verificare che il demone sia in esecuzione con ps -aef | grep python.

Qual è il risultato

L'escape dal container Docker avvia più demone di mining che appartengono al processo #1 (il kernel). Ciò significa che le risorse del computer vengono utilizzate per il mining senza che lo script/le risorse di calcolo siano associate al proprio container.

Come funziona

Sfrutta CVE-2019-5736. Quando il container viene eseguito, Docker usa docker-runc per eseguirlo, e si accede al pid di runc che sta eseguendo il nostro container. Si passa quindi l'esecuzione a un altro programma (overwrite_runc) con il symlink al binario di runc. Questo symlink punta direttamente al descrittore di file del binario di runc. Questo ci consente di aprire il descrittore di file di runc in scrittura e sovrascriverlo. Sovrascrivendolo con uno script malevolo, quando il container si spegne, esegue lo script con privilegi di root, consentendoci di avviare un cryptominer.

Avvertenza

Questo sovrascrive il binario di runc sul banco di prova, quindi copiare quello vero è una mossa intelligente prima di eseguirlo.

Non usarlo su sistemi reali e vulnerabili.