Zusammenfassung

  • APNIC sah 2.621 Quell-IPs nach einem SSH-Login denselben Einzeiler ausführen. Er löschte das vorhandene ~/.ssh-Verzeichnis, schrieb einen Angreiferschlüssel in authorized_keys und setzte die Berechtigungen.
  • Mit installiertem Schlüssel wird das Passwort für diesen Zugangsweg überflüssig. APNIC veröffentlicht den SHA-256-Fingerabdruck und stuft jeden Server mit diesem Schlüssel in authorized_keys als kompromittiert ein.

Wer nach einem Passwortwechsel fertig ist, hat womöglich nur den ersten Teil der Arbeit erledigt. APNICs Honeynet beobachtete, wie ein Login eine neue Identität auf dem Server hinterließ.

In der Wochenmessung vom 21. bis 27. September liefen 2.621 Quell-IPs nach einer SSH-Anmeldung auf einem Honeypot denselben Befehl. Er entfernte das vorhandene ~/.ssh-Verzeichnis, schrieb einen Angreiferschlüssel in authorized_keys und setzte die Berechtigungen. APNIC beschreibt den Effekt knapp: Sobald der Schlüssel installiert ist, braucht der Angreifer das Passwort nicht mehr.

Die erste Sitzung öffnet den Zugang. Danach ersetzt ein neuer öffentlicher Schlüssel den bisherigen Vertrauensbestand des Kontos. Der Befehl löscht zuerst das Verzeichnis mit den SSH-Schlüsseln und schreibt anschließend die neue Berechtigung. Das Konto erhält einen zweiten Zugang, den sein Betreiber nie vergeben hat.

APNICs Messung belegt diesen Ablauf auf den eigenen Lockdiensten. Sie liefert zugleich einen konkreten Suchwert: SHA256:MkYY9qiVsFGBC5WkjoClCkwEFW5iSjcGQF7m4n4H7Cw. Der Kommentar des Schlüssels endet auf mdrfckr. APNICs klare Einstufung: Taucht dieser Schlüssel in einer authorized_keys-Datei auf, ist der Server kompromittiert.

Für den Zeitraum vom 21. bis 27. September zählt APNIC 9.669 Quell-IPs mit SSH-Loginversuchen und 2.621 IPs, die nach dem Login den Befehl ausführten. Eine getrennte Messung erfasst 8.797 IPs, die Dateien auf den Sensoren hinterließen; daraus entstanden 506 unterschiedliche Dateien. APNIC veröffentlicht keine Überschneidung der Gruppen. Jede Messung behält ihren eigenen Umfang.

Passwort und Schlüsselzulassung kontrollieren getrennte Wege. Eine Passwortänderung lässt eine öffentliche Schlüsselberechtigung in authorized_keys bestehen. Solange der SSH-Server diesen Schlüssel akzeptiert, bleibt der Zugang unabhängig vom Passwort verfügbar.

Die Prüfung beginnt beim Fingerabdruck. Betreiber durchsuchen ihre authorized_keys-Dateien, untersuchen Änderungen an ~/.ssh nach Logins und behandeln einen Treffer nach APNICs Vorgabe als Kompromittierung. Danach folgen die Entfernung des fremden Schlüssels, die Analyse der Änderungen, die Wiederherstellung legitimer Schlüssel und die Erneuerung offengelegter Passwörter.

APNICs Honeynet stellt SSH, Telnet, Windows und weitere Dienste nach. Die entscheidende Spur zeigt den Moment, in dem eine Anmeldung in eine dauerhaft nutzbare Berechtigung übergeht.

Quelle: APNICs Wochenbericht zum Honeynet.