🥇SSH backdoor ຕິດຕັ້ງໃນລະຫວ່າງການ hack kernel.org ຍັງຄົງບໍ່ໄດ້ຮັບການກວດພົບເປັນເວລາສອງປີ

ນັກຄົ້ນຄວ້າຈາກ ESET ໄດ້ເຜີຍແຜ່ບົດລາຍງານ 43 ໜ້າ ເຊິ່ງວິເຄາະ rootkit ຂອງ Ebury ແລະກິດຈະກຳທີ່ກ່ຽວຂ້ອງ. Ebury ໄດ້ຖືກກ່າວວ່າໄດ້ຖືກນໍາໃຊ້ມາຕັ້ງແຕ່ປີ 2009 ແລະໄດ້ຖືກຕິດຕັ້ງໃນເຊີບເວີ Linux ຫຼາຍກວ່າ 400 ເຄື່ອງ ແລະລະບົບ FreeBSD, OpenBSD ແລະ Solaris ຫຼາຍຮ້ອຍເຄື່ອງ. ມີເຊີບເວີປະມານ 110 ເຄື່ອງທີ່ຍັງຄົງຕິດເຊື້ອ Ebury ມາຮອດທ້າຍປີ 2023. ການສຶກສາດັ່ງກ່າວແມ່ນໜ້າສົນໃຈເປັນພິເສດ ເນື່ອງຈາກວ່າ Ebury ຖືກນໍາໃຊ້ໃນການໂຈມຕີ kernel.org, ເຊິ່ງເປີດເຜີຍລາຍລະອຽດໃໝ່ບາງຢ່າງກ່ຽວກັບການປະນີປະນອມຂອງໂຄງສ້າງພື້ນຖານການພັດທະນາ kernel ຂອງ Linux ທີ່ຄົ້ນພົບໃນປີ 2011. Ebury ຍັງໄດ້ຖືກກວດພົບໃນເຊີບເວີຜູ້ລົງທະບຽນໂດເມນ, ການແລກປ່ຽນ crypto, ໂຫນດອອກ Tor, ແລະຫຼາຍໆ ຜູ້ໃຫ້ບໍລິການໂຮດຕິ້ງ, ເຊິ່ງບໍ່ໄດ້ລະບຸຊື່.

ໃນເບື້ອງຕົ້ນມີການສັນນິຖານວ່າ ຜູ້ໂຈມຕີໄດ້ ເຊີບເວີ ຜູ້ໂຈມຕີ kernel.org ຍັງຄົງບໍ່ໄດ້ຮັບການກວດພົບເປັນເວລາ 17 ມື້, ແຕ່ອີງຕາມ ESET, ໄລຍະເວລານີ້ແມ່ນຄິດໄລ່ຈາກຊ່ວງເວລາທີ່ Phalanx rootkit ຖືກຝັງ. ປະຕູຫຼັງ Ebury ໄດ້ມີຢູ່ໃນເຊີບເວີຕັ້ງແຕ່ປີ 2009 ແລະສາມາດຖືກນໍາໃຊ້ເພື່ອເຂົ້າເຖິງ root ໄດ້ປະມານສອງປີ. ມັນແວ Ebury ແລະ Phalanx ໄດ້ຖືກຕິດຕັ້ງໃນການໂຈມຕີແຍກຕ່າງຫາກທີ່ດໍາເນີນໂດຍກຸ່ມຜູ້ໂຈມຕີທີ່ແຕກຕ່າງກັນ. ປະຕູຫຼັງ Ebury ໄດ້ສົ່ງຜົນກະທົບຕໍ່ຢ່າງໜ້ອຍສີ່ເຊີບເວີໃນໂຄງສ້າງພື້ນຖານ kernel.org, ເຊິ່ງສອງໃນນັ້ນຖືກໂຈມຕີປະມານສອງປີຕໍ່ມາ, ແລະອີກສອງເຄື່ອງພາຍໃນຫົກເດືອນ.

ຜູ້ໂຈມຕີໄດ້ເຂົ້າເຖິງ hashes ລະຫັດຜ່ານຂອງ 551 ຜູ້ໃຊ້ທີ່ເກັບໄວ້ໃນ /etc/shadow, ລວມທັງຜູ້ຮັກສາ kernel ທັງຫມົດ (ບັນຊີໄດ້ຖືກໃຊ້ເພື່ອເຂົ້າເຖິງ Git; ຫຼັງຈາກເຫດການ, ລະຫັດຜ່ານໄດ້ຖືກປ່ຽນ, ແລະຮູບແບບການເຂົ້າເຖິງໄດ້ຖືກປັບປຸງໃຫມ່ເພື່ອນໍາໃຊ້ລາຍເຊັນດິຈິຕອນ. ). ສໍາລັບຜູ້ໃຊ້ 257 ຄົນ, ຜູ້ໂຈມຕີສາມາດກໍານົດລະຫັດຜ່ານ cleartext, ໂດຍສົມມຸດຕິຖານໂດຍການຄາດເດົາລະຫັດຜ່ານໂດຍໃຊ້ hashes ແລະໂດຍການຂັດຂວາງລະຫັດຜ່ານທີ່ໃຊ້ໃນ SSH ໂດຍອົງປະກອບ Ebury ທີ່ເປັນອັນຕະລາຍ.

ອົງປະກອບທີ່ເປັນອັນຕະລາຍ Ebury ໄດ້ຖືກແຈກຢາຍເປັນຫ້ອງສະຫມຸດທີ່ໃຊ້ຮ່ວມກັນ, ເຊິ່ງ, ເມື່ອຕິດຕັ້ງ, ສະກັດຟັງຊັນທີ່ໃຊ້ໃນ OpenSSH ເພື່ອສ້າງການເຊື່ອມຕໍ່ທາງໄກກັບລະບົບທີ່ມີສິດທິຂອງຮາກ. ການໂຈມຕີບໍ່ໄດ້ຖືກເປົ້າຫມາຍແລະ, ເຊັ່ນດຽວກັນກັບຫລາຍພັນຄົນຂອງເຈົ້າພາບອື່ນໆທີ່ໄດ້ຮັບຜົນກະທົບ, ເຄື່ອງແມ່ຂ່າຍ kernel.org ໄດ້ຖືກນໍາໃຊ້ເປັນສ່ວນຫນຶ່ງຂອງ botnet ເພື່ອສົ່ງ spam, ລັກຂໍ້ມູນການແຈກຢາຍຢູ່ໃນລະບົບອື່ນໆ, ປ່ຽນເສັ້ນທາງເວັບແລະປະຕິບັດກິດຈະກໍາທີ່ເປັນອັນຕະລາຍອື່ນໆ.

ເພື່ອເຈາະຜ່ານເຊີບເວີ, ຊ່ອງໂຫວ່ທີ່ບໍ່ໄດ້ຮັບການແກ້ໄຂໃນຊອບແວເຊີບເວີໄດ້ຖືກນໍາໃຊ້, ສໍາລັບການຍົກຕົວຢ່າງ, ຊ່ອງໂຫວ່ໃນກະດານໂຮດຕິ້ງ, ຫຼືລະຫັດຜ່ານທີ່ຖືກສະກັດ (ມັນສົມມຸດວ່າເຄື່ອງແມ່ຂ່າຍ kernel.org ຖືກແຮັກຍ້ອນການປະນີປະນອມລະຫັດຜ່ານຂອງຫນຶ່ງໃນຜູ້ໃຊ້ທີ່ມີ. ການເຂົ້າເຖິງ shell). ຊ່ອງໂຫວ່ເຊັ່ນ: Dirty COW ຖືກໃຊ້ເພື່ອຂະຫຍາຍສິດທິພິເສດ.

ຮຸ່ນໃຫມ່ຂອງ Ebury ທີ່ໃຊ້ໃນຊຸມປີມໍ່ໆມານີ້, ນອກເຫນືອຈາກ backdoor, ປະກອບມີລັກສະນະເຊັ່ນ: ໂມດູນສໍາລັບ Apache httpd ສໍາລັບການຈະລາຈອນຕົວແທນ, ການປ່ຽນເສັ້ນທາງຜູ້ໃຊ້ແລະການຂັດຂວາງຂໍ້ມູນລັບ, ໂມດູນ kernel ສໍາລັບການປ່ຽນແປງການຈະລາຈອນ HTTP, ເຄື່ອງມືສໍາລັບການເຊື່ອງຕົວຂອງທ່ານເອງ. ການຈະລາຈອນຈາກໄຟວໍ, ສະຄິບສໍາລັບການໂຈມຕີ AitM (Adversary-in-the-Middle, bidirectional MiTM) ເພື່ອຂັດຂວາງຂໍ້ມູນປະຈໍາຕົວ SSH ໃນເຄືອຂ່າຍຜູ້ໃຫ້ບໍລິການໂຮດຕິ້ງ.