Кратко

  • APNIC увидела 2 621 адрес источника, запустивший одну и ту же команду после входа по SSH в honeypot. Команда удаляла ~/.ssh, записывала ключ в authorized_keys и меняла права доступа.
  • После установки ключа пароль для этого пути больше не нужен. APNIC опубликовала SHA-256-отпечаток и указала: сервер с этим ключом в authorized_keys скомпрометирован.

У пароля роль разового пропуска. Ключ превращает этот проход в постоянное разрешение.

В недельном отчёте о восстановленном honeynet APNIC описывает одну и ту же цепочку после SSH-входа. За период с 21 по 27 сентября 2 621 адрес источника запустил команду, которая удаляет существующий каталог ~/.ssh, записывает ключ под контролем атакующего в authorized_keys и выставляет права. По формулировке APNIC, после установки ключа пароль уже не требуется.

Сначала сессия открывает доступ; затем новый открытый ключ меняет список доверенных способов входа в аккаунт. Команда удаляет каталог с SSH-ключами и записывает новую авторизацию. У аккаунта появляется путь входа, которого оператор не выдавал.

APNIC наблюдала это действие на собственных приманках и опубликовала точный индикатор для поиска: SHA256:MkYY9qiVsFGBC5WkjoClCkwEFW5iSjcGQF7m4n4H7Cw. Комментарий ключа заканчивается на mdrfckr. Рекомендация APNIC сформулирована определённо: если такой ключ обнаружен в authorized_keys, сервер скомпрометирован.

С 21 по 27 сентября 9 669 адресов источника пытались войти по SSH, а 2 621 выполнил команду после входа. Отдельная метрика APNIC фиксирует 8 797 IP, оставивших файлы на сенсорах; получилось 506 разных файлов. Отчёт не публикует пересечение групп, поэтому каждая метрика сохраняет собственный охват.

Пароль и открытый ключ открывают разные пути доступа. Смена пароля обновляет первый; внедрённый ключ сохраняет разрешение, пока он находится в authorized_keys и сервер принимает аутентификацию по ключу.

Расследование начинается с ключевого списка. Найдите опубликованный отпечаток во всех authorized_keys, проверьте изменения в ~/.ssh и проследите действия после входа. При совпадении APNIC классифицирует сервер как скомпрометированный: удалите несанкционированный ключ, установите масштаб изменений, восстановите законные ключи из доверенной копии и обновите раскрытые пароли.

Honeynet APNIC имитирует SSH, Telnet, Windows и другие сервисы. Самая полезная запись здесь — команда после входа: она показывает момент, когда временная аутентификация превращается в новый постоянный допуск.

Источник: недельный отчёт APNIC о honeynet.