摘要

  • APNIC 观察到 2,621 个源 IP 在登录 SSH 蜜罐后运行同一条命令。它先删除 ~/.ssh，再把一把攻击者密钥写入 authorized_keys 并设置权限。
  • 密钥写入后，攻击者不再需要原口令。APNIC公布了这把密钥的 SHA-256 指纹，并指出任何服务器只要在 authorized_keys 中发现它，就已遭到入侵。

口令负责第一次开门。留在门里的钥匙，负责下一次。

APNIC最新的一周蜜网报告记录到，2,621个源IP在SSH登录后执行了同一条命令。命令会删除已有的 ~/.ssh 目录，将一把攻击者控制的密钥写入 authorized_keys，再设置权限。APNIC对结果说得很直接：密钥装好后，攻击者便不再需要口令。

这条命令的重要性在于它发生在登录之后。弱口令帮对方拿到第一个会话，获准密钥则给账户留下第二条进入路径。它也不是简单地往现有列表末尾添一行：在写入之前，旧的 .ssh 目录先被删掉。一次登录就改写了服务器认可谁可以再来的名单。

这段行为是在APNIC自建的蜜网诱饵上观测到的。它提供了可操作的证据：攻击者登录后的重复命令，以及能在服务器上搜索的具体指纹。APNIC公布的 SHA-256 指纹是 SHA256:MkYY9qiVsFGBC5WkjoClCkwEFW5iSjcGQF7m4n4H7Cw，密钥注释以 mdrfckr 结尾。APNIC明确指出，只要服务器的 authorized_keys 文件里出现这把密钥，就应视为已被入侵。

报告记录，9月21日至27日有9,669个源IP尝试SSH登录，其中2,621个在登录后执行同一条命令。另一项测量记录到8,797个源IP在传感器上留下文件，共形成506个不同文件。APNIC没有公布两组地址的交集；这两项观测应分别读取。

口令和公钥认证是两套独立的访问控制。更换口令更新的是口令；只要植入的公钥仍在 authorized_keys 中，服务器也接受公钥认证，这条访问路径就仍然有效。清理密钥必须检查对应文件。

排查从这把密钥开始：搜索所有 authorized_keys，检查 ~/.ssh 的异常删除、写入和权限变化。如果找到，APNIC将服务器判定为已遭入侵；随后撤销未授权访问、查明登录会话造成的改动，并从可信记录恢复合法密钥。再轮换暴露的口令，并复核账户的其他访问路径。

APNIC蜜网观察SSH、Telnet、Windows及其他模拟服务。这里最关键的记录，是一次登录如何变成运营者从未签发的长期凭证。

来源：APNIC 一周蜜网报告。