ԱՄՆ կիբերանվտանգության գործակալությունը SSHole-ն ավելացրել է խոցելիությունների ցանկում

Ինչ են իրականում դիտարկել հետազոտողները

GreyNoise-ը վերահսկվող ցանցերում գրանցել է շահագործման 16 հաջող շղթա՝ 6 աղբյուր IP հասցեից։ Թիրախների թվում էին Հարավարևելյան Ասիայում ընկերության տեղադրած խայծ-համակարգերը, որոնք օգտագործվում են հարձակումները դիտարկելու համար։ Այս դիտարկումները չեն արտացոլում հաստատված արտաքին տուժողների թիվը։ GreyNoise-ը նաև հայտնել է, որ դրանք բնութագրական չեն SSHole-ի շահագործման ավելի լայն պատկերի համար։ Առանձին ընկերությունը գրանցել է 22-րդ պորտի 27,5 միլիոն սկանավորում և SSH կապի հաստատման 20,1 միլիոն փորձ, սակայն դրանք հաստատված SSHole հարձակումներ չեն։

Previdian-ը նույնպես հայտնաբերել է հաջող շահագործում։ Ընկերության նշած 20 փորձը՝ 9 երկրում աշխարհագրորեն տեղորոշված հարձակվողների 13 IP հասցեից, վերաբերում է փորձերին և դրանց ենթադրվող ծագման վայրերին, ոչ թե տուժողներին։ watchTowr-ը նոյեմբերի 6-ին հայտնել է, որ դիտարկել է շահագործում՝ կապված բոտնետների՝ զավթված սարքերի ցանցերի, և կրիպտոարժութային գործունեության հետ։

GreyNoise-ը Հարավարևելյան Ասիայում իր խայծ-համակարգերի վրա հարձակվող խմբին անվանում է GT10։ Ընկերության խոսքով՝ GT10-ի սերվերից մեկին հասանելիություն ստանալը բացահայտել է հնարավոր այլ տուժողների, սակայն այդ լրացուցիչ ներխուժումները չեն հաստատվել։

Դիտարկված հարձակումների ընթացքում ներխուժողներն ուսումնասիրել են համակարգերն ու կոնտեյներները, ամպային ծառայություններից տեղեկություններ հարցել սարքերի մասին և փորձել կարդալ գաղտնաբառերի հեշերն ու գերօգտատիրոջ SSH բանալիները։ Մուտքը պահպանելու համար նրանք նաև փորձել են փոփոխել authorized_keys ֆայլերը, որոնք կարգավորում են բանալիներով մուտքի հասանելիությունը։

GreyNoise-ը դիտարկել է, թե ինչպես է 1 հարձակվող ստացել գերօգտատիրոջ արտոնություններ և տեղադրել TAC Agent-ը՝ Python-ով գրված վնասաբեր ծրագիր, որը հրամաններ է ընդունում հարձակվողի սերվերից։ Տեղադրված այդ ծրագիրը չի կարողացել կապվել հրամանների սերվերին և որևէ առաջադրանք չի ստացել։ Այն կարող է կատարել հրամաններ, հետախուզել համակարգը, փոխանցել ֆայլեր և ինքնաթարմացվել, սակայն վերագործարկումից հետո աշխատանքը շարունակելու ներկառուցված միջոց չունի։ Հարձակվողները փորձել են դա ապահովել համակարգի գործարկման պահին մեկնարկող ծառայության միջոցով։

GreyNoise-ը վնասաբեր ծրագրում հայտնաբերել է չինարեն մեկնաբանություններ, գրանցամատյաններ և սխալի հաղորդագրություններ՝ դրանք նկարագրելով որպես հարձակվողների ծագումը պարզելու համար այլ ապացույցների հետ համադրելի հուշումներ։ Ars Technica-ի հոդվածում ենթադրվում է, որ գաղտնի մուտք ապահովող ծրագիրը ստեղծվել է գերբանականության (ԳԲ) օգնությամբ։ BleepingComputer-ի հոդվածում գործիքների առկայության ստուգման վարքը նկարագրված է որպես հնարավոր ավտոմատացված աշխատանքի հուշում։ Հարձակվողների ազգությունը և ԳԲ-ի կիրառումը մնում են չհաստատված։

Ցանկում ավելացված մյուս խոցելիությունները

ԱՄՆ կիբերանվտանգության և ենթակառուցվածքների անվտանգության գործակալությունը շահագործման ապացույցների նույն հիմքով ցանկում ավելացրել է նաև այս խոցելիությունները՝ առանց տուժողների թիվը նշելու։

Տեղադրել ուղղումը և ստուգել՝ չարտոնված մուտք եղե՞լ է

BleepingComputer-ը խորհուրդ է տալիս անհապաղ թարմացնել OpenSSH-ն կամ խոցելի համակարգերում անջատել SSH-ի գաղտնաբառով նույնականացումը, եթե թարմացումը հնարավոր չէ անմիջապես տեղադրել։ Ադմինիստրատորները պետք է ստուգեն՝ եղե՞լ են անսպասելի հաջող գաղտնաբառային մուտքեր այն հաշիվներ, որոնց /etc/shadow-ի դաշտում աստղանիշ է, կա՞ն չարտոնված SSH բանալիներ, TAC Agent-ի ֆայլեր կամ համակարգի գործարկման պահին մեկնարկող ծառայություններ։

ԱՄՆ կիբերանվտանգության և ենթակառուցվածքների անվտանգության գործակալության խոսքով՝ պարտադիր գործառնական 26-04 հրահանգը դաշնային գործադիր իշխանության քաղաքացիական մարմիններից պահանջում է առաջնահերթ և արագ վերացնել ցանկում ներառված այն խոցելիությունները, որոնց շահագործումը համացանցից հասանելի համակարգերում տալիս է լիակատար կառավարում։ Հրահանգը նաև սահմանում է պահանջներ՝ ստուգելու, թե արդյոք հարձակվողները համակարգ են ներխուժել մինչև ուղղման տեղադրումը։

Այդ պահանջը վերաբերում է միայն նշված դաշնային մարմիններին։ Գործակալությունը մյուս կազմակերպություններին հորդորում է ցանկում ներառված խոցելիությունների վերացման առաջնահերթությունը որոշել ռիսկերի հիման վրա։