Hakerzy aktywnie wykorzystują niedawno odkrytą, krytyczną lukę, która pozwala logować się na uprzywilejowane konta w wielu systemach Linux. Podatność o nazwie *sshole wynika ze współdziałania OpenSSH z biblioteką musl. Od jej ujawnienia do pierwszych potwierdzonych ataków minęły zaledwie cztery dni.

Na czym polega problem

Błąd nie leży w jednym z tych pakietów osobno, lecz w ich wzajemnym działaniu. Jeśli system korzysta jednocześnie z OpenSSH i musl oraz spełnia dodatkowe warunki, atakujący może w ciągu kilku sekund uzyskać dostęp do konta z wysokimi uprawnieniami. Nie musi przy tym znać hasła ani klucza.

Informacja o luce stała się publiczna w czwartek i od razu pojawiły się obawy o masowe przejmowanie maszyn z Linuksem. W poniedziałek badacze potwierdzili, że te obawy zaczynają się sprawdzać.

Co zaobserwowała firma Greynoise

Firma Greynoise utrzymuje w Azji Południowo-Wschodniej tzw. honeypoty, czyli przynęty służące do wykrywania ataków na żywo. Zaatakowała je grupa śledzona pod nazwą GT10. Według Greynoise były to „dojrzałe włamania”, a nie przypadkowe skanowanie sieci.

Badaczom udało się później uzyskać dostęp do serwera GT10. Znaleźli na nim ślady innych potencjalnych ofiar oraz część narzędzi użytych w kampanii. Jednym z nich jest backdoor o nazwie TAC Agent. Zawiera on komentarze w języku chińskim i wygląda na wygenerowany z pomocą sztucznej inteligencji.

TAC Agent potrafi między innymi:

• wykonywać polecenia powłoki,
• prowadzić rozpoznanie zaatakowanego systemu,
• utrzymywać trwały dostęp do maszyny.

Backdoor wymaga Pythona 3, więc GT10 instaluje to środowisko na maszynach, które go nie mają. Dla administratorów to może być wskazówka, że coś jest nie tak.

Co to oznacza w praktyce

OpenSSH wydało już poprawkę, która blokuje ataki. Najważniejsze jest więc jak najszybsze zaktualizowanie pakietu.

Luka nie zna granic, więc dotyczy także polskich i unijnych serwerów, firm i użytkowników domowych. Biblioteka musl jest lekką alternatywą dla popularniejszej glibc. Spotyka się ją m.in. w Alpine Linux oraz w części urządzeń wbudowanych, takich jak routery. Nie każdy system z Linuksem jest zatem narażony. Źródło nie podaje jednak pełnej listy podatnych konfiguracji, a warunki dodatkowe nie zostały w nim opisane. Dlatego ostrożny administrator nie powinien zakładać, że go to nie dotyczy.

Co warto zrobić już teraz:

• sprawdzić, czy system i urządzenia w sieci używają musl oraz OpenSSH,
• zainstalować aktualizację OpenSSH od producenta dystrybucji lub urządzenia,
• przejrzeć logi pod kątem nietypowych logowań, zwłaszcza na konta z wysokimi uprawnieniami,
• sprawdzić, czy na serwerze nie pojawił się niespodziewanie Python 3,
• ograniczyć dostęp do SSH z internetu, jeśli nie jest niezbędny.

Użytkownicy routerów i innych urządzeń sieciowych powinni sprawdzić, czy producent opublikował aktualizację oprogramowania. W takich urządzeniach poprawki bywają dostępne z opóźnieniem.

Źródło: Ars Technica – „Vulnerability that lets hackers SSH into Linux devices is under active exploitation”