الخلاصة

  • رصدت APNIC عدد 2,621 عنوان IP مصدرًا نفّذت الأمر نفسه بعد تسجيل الدخول إلى مصيدة SSH. يحذف الأمر ~/.ssh ويكتب مفتاحًا في authorized_keys ثم يضبط الصلاحيات.
  • بعد تثبيت المفتاح لا تعود كلمة المرور مطلوبة. نشرت APNIC بصمة SHA-256 للمفتاح، وقالت إن أي خادم يحتويه في authorized_keys مخترق.

كلمة المرور تمنح الجلسة الأولى. أما المفتاح الذي يتركه المهاجم فيمنحه طريق العودة.

في تقرير أسبوع واحد عن شبكة المصائد المعاد بناؤها، تقول APNIC إن 2,621 عنوان IP مصدرًا نفّذت الأمر نفسه بعد تسجيل الدخول عبر SSH. يبدأ الأمر بحذف مجلد ~/.ssh القائم، ثم يكتب مفتاحًا يسيطر عليه المهاجم في authorized_keys ويضبط الصلاحيات. وتوضح APNIC النتيجة: بعد تثبيت المفتاح لا يحتاج المهاجم إلى كلمة المرور.

الأمر يعيد كتابة سجل الثقة في الحساب. لا يضيف ببساطة سطرًا جديدًا إلى قائمة المفاتيح؛ يحذف أولًا مجلد .ssh الذي يحتفظ بمفاتيح الحساب. عندئذ تنتهي الجلسة الأولى وقد أصبحت هناك هوية دخول ثانية لم يصدرها مشغل الخادم.

يسجل التقرير أن 9,669 عنوان مصدر حاول SSH بين 21 و27 سبتمبر، وأن 2,621 عنوانًا نفّذ الأمر بعد الدخول. وفي قياس منفصل، ترك 8,797 عنوانًا ملفات على المستشعرات، فظهرت 506 ملفات مختلفة. لا ينشر التقرير تقاطع المجموعتين؛ لكل قياس نطاقه.

المفتاح نفسه هو المؤشر الذي يستطيع فريق الدفاع البحث عنه. نشرت APNIC بصمة SHA-256 SHA256:MkYY9qiVsFGBC5WkjoClCkwEFW5iSjcGQF7m4n4H7Cw، وينتهي تعليق المفتاح بـmdrfckr. وتقول APNIC إن الخادم الذي يحتوي هذا المفتاح في authorized_keys مخترق.

تتحكم كلمة المرور والمفتاح العام في مسارين منفصلين. تحديث كلمة المرور يغيّر المسار الأول؛ ويظل المفتاح المزروع صالحًا ما دام في authorized_keys والخادم يقبل المصادقة بالمفتاح.

ابدأ الاستجابة بالبحث عن البصمة في ملفات authorized_keys ومراجعة التغييرات غير المعتادة في ~/.ssh. إذا ظهر المفتاح، تصنّف APNIC الخادم بأنه مخترق: أزل المفتاح غير المصرح به، وافحص التغييرات بعد الدخول، واستعد المفاتيح الشرعية من سجل موثوق، ثم جدّد كلمات المرور المكشوفة.

تراقب شبكة APNIC مصائد SSH وTelnet وWindows وخدمات أخرى. وتكشف هذه الحالة لحظة تحول جلسة دخول إلى اعتماد جديد يتيح استمرار الوصول.

المصدر: تقرير APNIC الأسبوعي عن شبكة المصائد.