29 апреля 2025 года SSH-хонейпот на базе Raspberry Pi зафиксировал сложную многоэтапную атаку на Linux-системы. В отличие от стандартных автоматизированных сканеров, злоумышленники использовали брутфорс SSH-подключений, устанавливали бэкдоры и загружали вредоносное ПО, адаптированное под разные архитектуры процессоров.
Описание
Атака началась с успешного подбора слабых учетных данных (логин root, пароль abcd123456!), после чего злоумышленники закрепились в системе, добавив свой SSH-ключ в файл authorized_keys и защитив его от изменений с помощью команды chattr +ai.
Особенностью атаки стала подготовка нескольких версий вредоносного ПО под разные архитектуры: ARM7, ARM8, i686 и x86_64. Это позволило злоумышленникам заражать как маломощные IoT-устройства, так и серверы. Кроме того, в ходе атаки использовались сложные механизмы загрузки вредоносного кода с резервными вариантами (curl, wget и прямое TCP-соединение), чтобы обойти возможные блокировки.
Анализ логов показал, что злоумышленники активно проверяли задания cron (crontab -l), вероятно, для поиска уязвимостей в расписании задач или добавления своих скриптов для долгосрочного доступа. Также они применяли антифорензик-методы, удаляя следы взлома с помощью скрипта clean.sh.
Этот случай демонстрирует, что даже в 2025 году слабые пароли остаются одной из главных причин компрометации систем. Для защиты эксперты рекомендуют использовать сложные пароли, двухфакторную аутентификацию, регулярно обновлять ПО и мониторить SSH-логи на предмет подозрительной активности.
Ранее, информация о данной угрозе встречалась в следующих публикациях:
Индикаторы компрометации
