🐙 “มัลแวร์สายพันธุ์ใหม่โจมตี Docker API! ไม่ขุดคริปโต แต่สร้างเครือข่ายบอตเน็ต — พร้อมกลไกปิดประตูใส่คู่แข่ง” ถ้าคุณคิดว่า Docker API ที่เปิดไว้แค่ “ทดสอบ” จะไม่มีใครสนใจ — ตอนนี้คุณอาจต้องคิดใหม่ เพราะ Akamai พบมัลแวร์สายพันธุ์ใหม่ที่ใช้ช่องโหว่จาก Docker API ที่เปิดสาธารณะ เพื่อสร้างเครือข่ายควบคุมระบบแบบลับๆ โดยไม่เน้นขุดคริปโตเหมือนที่ผ่านมา แต่เน้น “ยึดพื้นที่” และ “กันคู่แข่งออก” เพื่อเตรียมสร้างบอตเน็ตในอนาคต ย้อนกลับไปช่วงกลางปี 2025 Trend Micro เคยรายงานมัลแวร์ที่ใช้ Docker API ที่เปิดไว้โดยไม่ได้ตั้งใจ เพื่อรัน container ที่มี cryptominer ผ่านโดเมน Tor แต่ในเวอร์ชันล่าสุดที่ Akamai ตรวจพบจาก honeypot ในเดือนสิงหาคมนั้น เป้าหมายเปลี่ยนไปอย่างชัดเจน — มัลแวร์จะบล็อกการเข้าถึง API จากภายนอกทันทีที่ติดตั้ง และฝังเครื่องมือควบคุมระบบแทน หลังจากเข้าถึงระบบได้ มัลแวร์จะรันสคริปต์ที่ถูกเข้ารหัสแบบ Base64 เพื่อฝังตัวถาวร และบล็อกพอร์ต 2375 ซึ่งเป็นพอร์ตหลักของ Docker API เพื่อกันไม่ให้แฮกเกอร์รายอื่นเข้ามาแทรกแซง จากนั้นจะดาวน์โหลด binary dropper ที่เขียนด้วยภาษา Go ซึ่งมีโค้ดแปลกๆ เช่น emoji รูป “ผู้ใช้” ที่อาจบ่งบอกว่าใช้ LLM ช่วยเขียนโค้ด มัลแวร์ยังใช้ masscan เพื่อสแกนหา Docker API ที่เปิดอยู่ในระบบอื่น แล้วพยายามติดตั้งตัวเองซ้ำในเซิร์ฟเวอร์เหล่านั้น — เป็นการเริ่มต้นสร้างเครือข่ายบอตเน็ตแบบแพร่กระจายตัวเอง และยังมีโค้ดที่เตรียมไว้สำหรับโจมตีผ่าน Telnet และ Chrome remote debugging port แม้ยังไม่เปิดใช้งานในเวอร์ชันนี้ ที่น่าสนใจคือ มัลแวร์จะตรวจสอบ container ที่รัน Ubuntu ซึ่งมักถูกใช้โดยแฮกเกอร์รายอื่นในการขุดคริปโต แล้วลบออกทันที เพื่อยึดพื้นที่ให้ตัวเอง — สะท้อนว่าเป้าหมายของแคมเปญนี้ไม่ใช่แค่การหารายได้ แต่เป็นการสร้างโครงสร้างพื้นฐานควบคุมระบบในระยะยาว Akamai ใช้โครงการ Beelzebub honeypot ที่จำลองการตอบสนองของ Docker API เพื่อดึงดูดแฮกเกอร์ให้เปิดเผยพฤติกรรม และสามารถระบุ IOC (Indicators of Compromise) ได้ เช่น onion domain, webhook และ hash ของไฟล์มัลแวร์. ✅ ลักษณะของมัลแวร์ Docker สายพันธุ์ใหม่ ➡️ โจมตีผ่าน Docker API ที่เปิดสาธารณะโดยไม่ได้ตั้งใจ ➡️ ไม่ติดตั้ง cryptominer แต่ฝังเครื่องมือควบคุมระบบ ➡️ บล็อกพอร์ต 2375 เพื่อกันไม่ให้แฮกเกอร์รายอื่นเข้ามา ➡️ ใช้ Base64 script เพื่อฝังตัวและสร้าง persistence ✅ พฤติกรรมหลังติดตั้ง ➡️ ดาวน์โหลด binary dropper ที่เขียนด้วย Go ➡️ ใช้ masscan สแกนหา Docker API ในระบบอื่น ➡️ พยายามติดตั้งตัวเองซ้ำเพื่อสร้างเครือข่ายบอตเน็ต ➡️ มีโค้ดเตรียมโจมตีผ่าน Telnet และ Chrome remote debugging port ✅ การจัดการคู่แข่ง ➡️ ตรวจสอบ container ที่รัน Ubuntu ซึ่งมักใช้ขุดคริปโต ➡️ ลบ container เหล่านั้นเพื่อยึดพื้นที่ให้ตัวเอง ➡️ สะท้อนเป้าหมายในการสร้างโครงสร้างควบคุมระยะยาว ✅ ข้อมูลเสริมจากภายนอก ➡️ เวอร์ชันก่อนหน้าที่ Trend Micro พบในเดือนมิถุนายน 2025 ใช้ Tor และติดตั้ง XMRig miner ➡️ โค้ดของ dropper มี emoji ซึ่งอาจบ่งบอกว่าใช้ LLM ช่วยเขียน ➡️ Akamai ใช้ Beelzebub honeypot เพื่อศึกษาพฤติกรรมมัลแวร์ ➡️ พบ IOC เช่น onion domain, webhook และ file hash ที่เกี่ยวข้องกับมัลแวร์ https://hackread.com/new-docker-malware-blocking-rivals-exposed-apis/