Resumo

  • APNIC registrou 2.621 IPs de origem executando o mesmo comando SSH depois de entrar em um honeypot. A linha apagava o diretório .ssh e gravava uma chave em authorized_keys.
  • O relatório publica a impressão digital SHA-256 dessa chave. Para a APNIC, servidor que a tenha em authorized_keys está comprometido.

A estatística barulhenta é a dos eventos. A mudança que fica quieta é uma linha em authorized_keys.

A APNIC reconstruiu boa parte do honeynet: atualizou o sistema de coleta, renovou Cowrie e Dionaea, adicionou OpenCanary e Webpot e passou a imitar um portal SSL-VPN da Fortinet e um Android com a porta de depuração aberta. O malware capturado agora segue para um sandbox Linux. Entre 21 e 27 de setembro, os sensores registraram 98.958 IPs de origem distintos e 173 milhões de eventos.

A APNIC separa endereços de origem do volume de eventos porque um único bot pode produzir milhões de registros; outro sistema aparece uma vez e some. Cowrie, o sensor de SSH e Telnet, viu 72.256 IPs e 121,1 milhões de eventos. O OpenCanary registrou 14.393 IPs e 34,5 milhões de eventos: cerca de 2.400 eventos por IP observado, contra aproximadamente 1.700 no Cowrie. São contagens que descrevem comportamentos diferentes, não uma fila única de atacantes.

No SSH, 9.669 IPs tentaram login. Muitos recorreram a um pequeno conjunto de usuários e senhas previsíveis, padrão que aponta para ferramentas automatizadas e listas compartilhadas. Depois de conseguir acesso, 2.621 IPs rodaram o mesmo one-liner: apagar ~/.ssh, escrever uma única chave controlada pelo invasor em authorized_keys e restringir as permissões. A sessão troca o inventário de chaves da conta antes de terminar.

O comentário da chave termina em mdrfckr. A APNIC publicou a impressão digital SHA256:MkYY9qiVsFGBC5WkjoClCkwEFW5iSjcGQF7m4n4H7Cw e a regra para operadores: se a chave aparecer em authorized_keys, o servidor está comprometido. Trocar a senha não revoga a autorização gravada no arquivo.

Os números de arquivos contam outra parte da semana. O Cowrie recebeu 7.635 URLs de download, enviadas por 6.493 IPs; 4.224 URLs retornaram um arquivo. Nos sensores, 8.797 IPs deixaram arquivos e produziram 506 itens distintos, incluindo arquivos gravados diretamente durante uma sessão, como a chave SSH. O relatório não informa quantos desses IPs são os mesmos que executaram o comando de persistência.

A resposta começa pelo rastro que a APNIC publicou. Procure a impressão digital em todos os authorized_keys, compare cada entrada com um inventário confiável e revise alterações inesperadas em ~/.ssh. Remova a chave não autorizada, reconstrua o que a sessão alterou, restaure as chaves legítimas e troque senhas expostas. A porta foi aberta com uma senha; a chave ficou com a cópia.

Fonte: relatório semanal da APNIC sobre o honeynet.