Сеть ловушек на базе Cowrie, собирающая данные о подключениях к SSH, отметила рост числа попыток входа с необычно длинными паролями. Первые такие обращения пришли 1 ноября. Через несколько дней в ловушки начали поступать попытки, похожие на эксплуатацию sshole - уязвимости, о которой стало известно неделей раньше. Картина указывает на смену стадии: от публикации сведений об уязвимости к автоматическим проверкам доступных служб. Массовую эксплуатацию в реальных атаках эти записи не подтверждают.
Описание
Интенсивность менялась неравномерно. До 1 ноября обращений с длинными паролями не было вовсе. Затем последовали отдельные всплески, а 6 ноября суточное число попыток достигло 713. После пика поток пошёл на спад, и такая динамика больше похожа на первичное сканирование, чем на подготовленную кампанию. Само это объяснение остаётся предположением.
Первые длинные пароли к sshole отношения не имели. По данным операторов ловушек, так выглядят ошибки в скриптах перебора: команды, предназначенные для оболочки после входа, попадают в поле пароля. В одном из случаев такой "пароль" содержал цепочку команд скачивания загрузчика через утилиты загрузки. Часть подобных попыток, судя по поведению службы, могла оказаться успешной - тогда ошибочный скрипт получал доступ и запускал загруженный файл. Это отдельная линия активности, с эксплуатацией sshole она не связана.
Настоящие попытки эксплуатации появились 5 ноября. Их отличал пароль, составленный из повторяющегося символа и намного превышающий обычную длину. По данным анализа, такие обращения выглядят как проверка того, как служба обрабатывает входные данные нестандартного размера. Предположительно, речь идёт о попытке воспроизвести условия уязвимости, а не о подборе учётных данных. Подтвердить успешность хотя бы одной такой попытки по имеющимся записям нельзя.
Источники обращений распределены по множеству сетей. Среди них - провайдеры хостинга в Европе и Азии, а также несколько потребительских телеком-операторов, включая корейские. Заметная часть адресов принадлежит сетям одного корейского оператора, остальные разбросаны по европейским и азиатским провайдерам. Единой инфраструктуры за этими обращениями не видно. Скорее картина соответствует распределённому сканированию с арендованных серверов.
Ограничения данных заметны. Ловушки сохраняют только первые 255 символов пароля, поэтому полную строку, отправленную в попытке эксплуатации, наблюдать не удаётся. Обрыв на этом рубеже может скрывать и структуру полезной нагрузки, и признаки конкретного варианта эксплойта. Кроме того, ловушки фиксируют факт подключения, а не намерение. Отделить автоматический скан от целевой атаки на конкретный хост по таким записям невозможно.
Итог по доступным сведениям: sshole попал в набор автоматических проверок, которые выполняют сканеры и скрипты вредоносного ПО. Аномальная длина пароля стала удобным маркером для поиска уязвимых служб - и для тех, кто атакует, и для тех, кто наблюдает за ними. Сведений о том, что кто-то довёл эксплуатацию до выполнения кода на чужой системе, пока нет. Детали разбора сохранённых записей не опубликованы.
Индикаторы компрометации
