要約

  • APNICは、SSHログイン後に同じコマンドを実行した送信元IPを2,621個観測した。コマンドは既存の.sshを削除し、authorized_keysに攻撃者の鍵を一つ書き込んで権限を設定する。
  • 報告書には鍵のSHA-256フィンガープリントが載っている。APNICは、この鍵がサーバーのauthorized_keysにあれば、そのサーバーは侵害済みだとする。

ログインは突破口にすぎない。APNICが記録したコマンドは、通過した直後にアカウントの鍵台帳まで書き換えた。

APNICは今年、観測網の大部分を組み直した。収集・処理バックエンドを更新し、CowrieとDionaeaを刷新、OpenCanaryとWebpotを追加。FortinetのSSL-VPNポータルや、デバッグ用ポートを開けたAndroid端末を模すセンサーも置いた。採取したマルウェアはLinuxサンドボックスへ送る。9月21日から27日までの一週間で、ハニーポットには98,958の異なる送信元IPが接続し、ログは1億7,300万件に達した。

APNICがイベント数と送信元IPを分ける理由は明快だ。同じボットでも何百万行も記録させることがあり、別の端末は一度だけ接続して去る。SSHとTelnetを受けるCowrieは72,256 IP、1億2,110万イベントを記録した。OpenCanaryは14,393 IPから3,450万イベント。観測IPあたり約2,400件で、Cowrieの約1,700件を上回る。ログの多さだけでは、接続元の数は読めない。

SSHへのログインを試みたIPは9,669。試されたのは予測しやすいユーザー名とパスワードの小さな組み合わせが中心で、APNICは自動化ツールや共有リストの利用を示すと見る。その後、2,621 IPが同じワンライナーを実行した。古い~/.sshディレクトリを削除し、攻撃者の公開鍵をauthorized_keysへ書き、権限を締める。既存の鍵一覧は、その一回のセッションで置き換わる。

鍵のコメント末尾はmdrfckr。APNICは公開鍵そのものと、SHA-256フィンガープリントSHA256:MkYY9qiVsFGBC5WkjoClCkwEFW5iSjcGQF7m4n4H7Cwを掲載し、authorized_keysでこの鍵が見つかったサーバーを侵害済みと判定する。パスワードを変えても、ファイルに残る鍵の許可は消えない。

ファイル配布の数値は別の観測だ。Cowrieには6,493 IPから7,635種類のダウンロードURLが送られ、4,224 URLから実ファイルを取得した。センサー全体では8,797 IPがファイルを残し、506種類を記録した。SSH鍵のようにセッションへ直接書かれたファイルも含む。2,621 IPのコマンド実行群と何件重なるかはAPNICの報告にない。

運用側が見る場所は決まっている。まず公表された指紋をauthorized_keys全体で検索し、各アカウントの承認済み鍵台帳と照合する。~/.sshの予期しない削除・書き込み・権限変更を追い、書き込んだセッションを調べる。不正鍵を外し、信頼できる記録から正規の鍵を戻し、露出したパスワードを更新する。入口を閉じるだけでなく、置き土産の鍵を台帳から消す。

出典：APNICの1週間のハニーネット報告。