Аналитики AhnLab Security Emergency Response Center (ASEC) предупредили, что плохо защищенные SSH-серверы Linux становятся мишенью для злоумышленников, которые устанавливают на них сканеры портов и инструменты для словарных атак с целью найти другие уязвимые серверы и объединить их в сеть для майнинга криптовалюты и проведения DDoS-атак.
«Также злоумышленники могут установить только сканеры, а затем продать скомпрометированные IP-адреса и учетные данные в даркнете», — рассказывают исследователи в своем отчете.
В ходе таких атак злоумышленники стремятся подобрать учетные данные SSH-сервера, перебирая список часто используемых комбинаций имен пользователей и паролей. Если попытка брутфорса оказывается успешной, после этого хакеры разворачивают на сервере малварь, в том числе сканеры, для поиска других уязвимых систем. В частности, сканер, который используют атакующие, ищет системы, где активен связанный с SSH порт 22, а затем снова проводится словарная атака и установка вредоносного ПО.
Сообщается, что одним из примечательных аспектов этих атак является выполнение таких команд, как grep -c ^processor /proc/cpuinfo, для определения количества ядер процессора.
«Предполагается, что эти инструменты были созданы старой командой PRG, и каждый злоумышленник слегка модифицирует их, прежде чем использовать в атаках, — заявили в ASEC, добавив, что свидетельства использования такой малвари наблюдались еще в 2021 году.
Чтобы снизить риски, связанные с такими атаками, пользователям рекомендуется использовать надежные пароли, периодически менять их, а также поддерживать свои системы в актуальном состоянии.
