Обнаружены активные атаки на Linux системы

image

Теги: взлом, Linux

US-CERT сообщила об обнаружении активных атак с использованием похищенных SSH ключей, которые направлены на Linux системы.

US-CERT сообщила об обнаружении активных атак с использованием похищенных SSH ключей, которые направлены на Linux системы. Существует новый руткит под названием Phalanx2, который совместно с обычными задачами, также ворует все SSH ключи на системе. Затем, судя по всему, атакующие используют эти ключи (по крайней мере, те, для которых не был создан пароль) для доступа к другим системам. После получения доступа к системе, злоумышленники используют локальные эксплоиты для повышения привилегий.
Наличие Phalanx2 на системе можно определить по следующим признакам:

  • Команда "ls" не отображает каталог "/etc/khubd.p2/", но в него можно зайти с помощью команды "cd /etc/khubd.p2"
  • "/dev/shm/" может содержать файлы, которые использовались во время атаки
  • Любая директория "khubd.p2" скрыта от команды "ls", но в нее можно зайти с помощью команды "cd"
  • Изменения в конфигурации руткита могут изменить вышеописанные индикаторы атаки. Другие методы обнаружения могут включать поиск скрытых процессов на системе и сравнение количества ссылок в "/etc" по сравнению с количеством каталогов, отображаемых командой "ls".

В случае обнаружения компрометации системы необходимо выполнить следующие действия:

  • Везде, где возможно, запретить SSH аутентификацию, основанную на ключах.
  • Произвести аудит всех SSH ключей на системах.
  • Уведомить владельцев ключей о возможности потенциальной компрометации их ключа.

В качестве проактивных мер рекомендуется:

  • Выявить все системы, где SSH ключи используются как часть автоматического процесса. Как правило, такие ключи создаются без пароля и представляют повышенный интерес у злоумышленников.
  • Заставить пользователей использовать пароли при создании ключей для уменьшения риска возможной компрометации.
  • Проверить наличие последних исправлений безопасности на системах, подключенных к Интернет.

Также потенциально опасную брешь представляют ключи, сгенерированные на Debian-подобных системах до установленного исправления, которое вышло несколько месяцев назад. Если вы не установили исправление или не сгенерировали новые ключи, сейчас это необходимо сделать в кратчайшие сроки.

Telegram Подписывайтесь на канал "SecurityLab" в Telegram, чтобы первыми узнавать о новостях и эксклюзивных материалах по информационной безопасности.

comments powered by Disqus