Десятого ноября 2025 года honeypot-система SANS Internet Storm Center зафиксировала тревожную активность, которая наглядно демонстрирует эволюцию современных злоумышленников. Казалось бы, успешная атака методом грубой силы на SSH обернулась развёртыванием продвинутого трояна, созданного для долгосрочного скрытного присутствия в системе.
Описание
Инцидент начался с успешного подключения по SSH с IP-адреса 103[.]148[.]195[.]161. Злоумышленник использовал стандартные учётные данные - логин «root» и пароль «linux». Сессия продлилась всего одну минуту сорок пять секунд, и внешне атакующий не выполнил ни одной команды. Однако за этим кажущимся бездействием скрывалась целенаправленная операция. Единственным действием стала загрузка на скомпрометированный сервер исполняемого файла с именем "sshd", что является классическим примером маскировки (Masquerading). Этот ELF-бинар (формат исполняемых и компонуемых файлов в Unix-системах) был искусно замаскирован под легитимный демон OpenSSH.
Анализ файла с хэш-суммой 7a9da7d10aa80b0f9e2e3f9e518030c86026a636e0b6de35905e15dd4c8e3e2d показал его вредоносную природу. Сигнатуры угроз были подтверждены платформами VirusTotal и Hybrid-Analysis. Хотя непосредственное поведение трояна в данной ловушке отследить не удалось, изучение его характеристик через Hybrid-Analysis позволило восстановить картину атаки и сопоставить её с тактиками матрицы MITRE ATT&CK.
Действия злоумышленника охватывают широкий спектр техник. Атака началась с подбора учётных данных (Valid Accounts, Brute Force) для получения доступа. Ключевым элементом стало внедрение вредоносного полезного груза (payload), замаскированного под системный процесс (Masquerading). Троян был предназначен для компрометации клиентского программного обеспечения (Compromise Client Software Binary) и, вероятно, использовал механизмы повышения привилегий (Abuse Elevation Control Mechanism). Файл применял обфускацию (Obfuscated Files or Information) и методы уклонения от песочниц (Virtualization/Sandbox Evasion). Кроме того, в его функционале, предположительно, были заложены возможности для кражи учётных данных из операционной системы (OS Credential Dumping) и так называемые «ограничительные условия» (Execution Guardrails), которые активируют троян только в определённом окружении, что затрудняет его анализ.
Особый интерес вызывает происхождение атаки. IP-адрес 103[.]148[.]195[.]161 принадлежит государственной структуре. Однако эксперты предостерегают от поспешных выводов. Прямое использование государственного IP для кибератак маловероятно для профессиональной APT-группы (Advanced Persistent Threat - целенаправленная постоянная угроза). Скорее всего, этот адрес указывает на ранее скомпрометированную инфраструктуру, которую злоумышленники используют в качестве прокси. Ошибочная атрибуция атаки может привести к серьёзным политическим последствиям, включая необоснованное возмездие и международную напряжённость, особенно если организация-жертва имеет значительный медийный вес.
Данный кейс содержит важные уроки для специалистов по безопасности. Во-первых, он подчёркивает важность проактивных мер. Отключение аутентификации по паролю в пользу SSH-ключей, белые списки IP-адресов, многофакторная аутентификация (MFA), а также развёртывание систем обнаружения и предотвращения вторжений (IDS/IPS) и платформ для защиты конечных точек (EDR) критически важны. Во-вторых, инцидент демонстрирует необходимость постоянной охоты за угрозами (Threat Hunting). Краткие сессии без явных команд могут быть столь же опасны, как и активные действия, поскольку их цель - скрытное внедрение.
Ключевой вывод для аналитиков SOC (Security Operations Center - центр мониторинга и реагирования на инциденты) заключается в том, что современные угрозы становятся всё более изощрёнными. Злоумышленники стремятся к долгосрочному присутствию и для этого мимикрируют под легитимные процессы, чтобы избежать типичных красных флагов. Предоставленные индикаторы компрометации (IOC), такие как хэш файла и IP-адрес, являются конкретной разведывательной информацией для немедленного применения в защите инфраструктуры. Этот случай служит напоминанием, что иногда самая тихая сессия в логах может оказаться самой грозной.
Индикаторы компрометации
IPv4
- 103.148.195.161
MD5
- 3b79755738d8b8cbefb3e70a622d8089
SHA1
- a0f5bcb64291b174c3ac2ab1da0a9ecdacefe1cb
SHA256
- 7a9da7d10aa80b0f9e2e3f9e518030c86026a636e0b6de35905e15dd4c8e3e2d
