Зловмисники експлуатують вразливість SSHole в OpenSSH для атак на Linux-системи

Хакери розпочали активну експлуатацію вразливості SSHole у пакеті OpenSSH, яка дозволяє обходити автентифікацію на певних Linux-системах. Атаки стали можливими після публікації доказового коду 5 листопада, а перші успішні випадки злому були зафіксовані компанією GreyNoise 7 листопада.

Про це повідомляє BleepingComputer з посиланням на wiz.io

Вразливість була виявлена дослідником Озгуном Култекіном. Вона виникає через помилку в роботі функції хешування паролів у бібліотеці musl: при виникненні певної помилки OpenSSH помилково сприймає значення як відповідне до збереженого пароля. Це стосується акаунтів, у яких у файлі паролів встановлено символ зірочки (*), що зазвичай означає вимкнення входу за паролем.

Експлуатація потребує специфічних налаштувань автентифікації, не впливає на акаунти з дійсними хешами паролів і може призвести до отримання root-доступу, якщо зламаний акаунт має права адміністратора без пароля.
— Озгун Култекін

Компанія GreyNoise повідомила про виявлення 16 успішних спроб злому, під час яких зловмисники намагалися встановити контроль над серверами, зокрема через завантаження агента TAC Agent. У повідомленні зазначається, що ці атаки включали розвідку системи, спроби крадіжки ключів SSH та зміну файлів для забезпечення постійного доступу. Також експерти вказали, що коментарі в коді виявленого шкідливого ПЗ містять текст китайською мовою.

Інші організації, включаючи компанії Defused та Previdian, підтвердили наявність спроб експлуатації, хоча вони не набули масового характеру. Водночас фірма watchTower зафіксувала зв’язок атак з ботнетами та діяльністю з видобутку криптовалют.

Фахівці рекомендують системним адміністраторам негайно оновити OpenSSH до версії 10.6p2 або вимкнути автентифікацію за паролем. Також необхідно перевірити сервери на предмет несанкціонованих SSH-ключів, підозрілих файлів та запусків служб, пов’язаних із виявленим агентом TAC Agent.