Badacze z firmy ESET opublikowali 43-stronicowy raport z analizy rootkita Ebury oraz związanych z nim aktywności. Twierdzi się, że Ebury jest wykorzystywane od 2009 roku i od tego czasu zostało zainstalowane na ponad 400 tysiącach serwerów działających na systemie Linux oraz na kilkuset systemach opartych na FreeBSD, OpenBSD i Solaris. Około 110 tysięcy serwerów pozostało zainfekowanych Ebury na koniec 2023 roku. Badanie to budzi szczególne zainteresowanie z uwagi na fakt, że Ebury było zaangażowane w atak na kernel.org, co ujawnia pewne nowe szczegóły dotyczące kompromitacji infrastruktury rozwoju jądra Linux, zidentyfikowanej w 2011 roku. Ebury zostało również zidentyfikowane na serwerach rejestratorów domen, giełd kryptowalut, węzłach wyjściowych Tor oraz u kilku dostawców hostingu,, których nazwy nie są ujawniane.
Początkowo zakładano, że atakujący serwery kernel.org pozostawali niezauważeni przez 17 dni, ale według danych ESET ten czas obliczono od momentu wprowadzenia rootkita Phalanx, natomiast tylna furtka Ebury była obecna na serwerach od 2009 roku i przez około dwa lata mogła być wykorzystywana do uzyskania dostępu root do serwerów. Złośliwe oprogramowanie Ebury i Phalanx zostało zainstalowane w ramach różnych ataków, które nie były ze sobą powiązane i były przeprowadzane przez różne grupy przestępcze. Wdrożenie tylnej furtki Ebury dotknęło co najmniej 4 serwery w infrastrukturze kernel.org, z czego dwa były zainfekowane przez około dwa lata, a pozostałe dwa – przez 6 miesięcy.
Atakujący uzyskali dostęp do haseł 551 użytkowników przechowywanych w /etc/shadow, wśród których byli wszyscy opiekunowie jądra (kontakty były używane do uzyskiwania dostępu do Gita; po incydencie hasła zostały wymienione, a model dostępu został przemyślany i wprowadzono cyfrowe podpisy). Dla 257 użytkowników atakującym udało się określić hasła w postaci otwartego tekstu, prawdopodobnie poprzez atak siłowy przy użyciu skrótów i poprzez przechwytywanie haseł używanych w SSH przez złośliwy komponent Ebury.
Złośliwy komponent Ebury był rozpowszechniany jako biblioteka współdzielona, która po zainstalowaniu przechwytywała funkcje używane w OpenSSH w celu zorganizowania zdalnego dostępu do systemu z uprawnieniami roota. Atak był przypadkowy i, podobnie jak inne dotknięte tysiące hostów, serwery kernel.org były wykorzystywane jako część botnetu do rozsyłania spamu, kradzieży danych logowania w celu rozpowszechnienia ich w innych systemach, przekierowywania ruchu sieciowego i dokonywania innych działań złośliwych.
Do włamań na serwery wykorzystywane były niezałatane luki w oprogramowaniu serwerowym, na przykład luki w panelach hostingowych, lub przechwycone hasła (zakłada się, że serwery kernel.org zostały złamane w wyniku kompromitacji hasła jednego z użytkowników, który miał dostęp do powłoki). W celu podniesienia uprawnień wykorzystywane były luki, takie jak Dirty COW.
Nowe wersje Ebury stosowane w ostatnich latach, poza backdoorem, zawierały funkcje takie jak moduły do Apache httpd do proxy'owania ruchu, przekierowywania użytkowników i przechwytywania poufnych informacji, moduł jądra do modyfikacji tranzytowego ruchu HTTP, narzędzia do ukrywania własnego ruchu przed zaporami sieciowymi, skrypty do przeprowadzania ataków AitM (Adversary-in-the-Middle, dwukierunkowy MiTM) w celu przechwytywania danych logowania SSH w sieciach dostawców usług hostingowych.
Źródło: opennet.ru
