Кратко (TL;DR): Хакеры начали эксплуатировать уязвимость SSHole (CVE-2024-6387) в OpenSSH, прописывая свои SSH-ключи на серверах. Атаки пока зафиксированы только на honeypots, но угроза реальна. Бесплатная автообновляемая подписка доступна на /sub/happ/for-russia, а приватный анти-DPI мульти-ключ с обходом белых списков — в Telegram-боте @yavpn_robot.

Исследователи из GreyNoise обнаружили, что злоумышленники начали активно сканировать интернет в поисках уязвимых SSH-серверов и прописывать свои публичные ключи. Речь идёт об уязвимости SSHole (CVE-2024-6387), которая позволяет удалённо выполнить код на уровне root через race condition в обработчике сигналов OpenSSH.

Как работает атака

Уязвимость затрагивает версии OpenSSH до 9.8p1. Атакующий отправляет специально сформированные пакеты, которые вызывают состояние гонки (race condition) в коде обработки сигналов. Это позволяет выполнить произвольный код с правами root.

В зафиксированных атаках хакеры использовали следующие команды:

  • Прописывание SSH-ключа для пользователя root в файл authorized_keys
  • Прописывание SSH-ключа для пользователя alpine (типичный для Docker-контейнеров)
  • Создание нового пользователя с правами sudo

Всего GreyNoise зафиксировала 15 цепочек команд по состоянию на 12:40 UTC 8 ноября. Важно отметить, что атаки пока направлены на honeypots (ловушки), а не на реальные серверы. Однако это лишь вопрос времени — как только PoC-эксплойт станет публичным, начнётся массовая охота.

Что делать администраторам

Первым делом обновите OpenSSH до версии 9.8p1 или выше. Если обновление невозможно, временно отключите SSH-сервер или ограничьте доступ по IP-адресам с помощью файрвола.

Проверьте файлы authorized_keys на всех пользователях, особенно root. Ищите незнакомые ключи. Также проверьте логи на предмет подозрительных попыток входа.

Для дополнительной защиты используйте двухфакторную аутентификацию и ключи с парольной фразой. Если ваш провайдер режет трафик или вы хотите защитить SSH-соединения от DPI, приватный мульти-ключ с обходом белых списков доступен в Telegram-боте @yavpn_robot.