{"id":115822,"date":"2024-05-16T08:59:20","date_gmt":"2024-05-16T06:59:20","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ssh-bekdor-ustanovlennyj-pri-vzlome-kernel-org-dva-goda-ostavalsya-nezamechennym"},"modified":"2024-05-16T08:59:20","modified_gmt":"2024-05-16T06:59:20","slug":"ssh-bekdor-ustanovlennyj-pri-vzlome-kernel-org-dva-goda-ostavalsya-nezamechennym","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/ssh-bekdor-ustanovlennyj-pri-vzlome-kernel-org-dva-goda-ostavalsya-nezamechennym","title":{"rendered":"Wbudowany b\u0142\u0105d SSH, zainstalowany podczas w\u0142amania do kernel.org, pozostawa\u0142 niezauwa\u017cony przez dwa lata.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Badacze z firmy ESET opublikowali 43-stronicowy raport z analizy rootkita Ebury oraz zwi\u0105zanych z nim aktywno\u015bci. Twierdzi si\u0119, \u017ce Ebury jest wykorzystywane od 2009 roku i od tego czasu zosta\u0142o zainstalowane na ponad 400 tysi\u0105cach serwer\u00f3w dzia\u0142aj\u0105cych na systemie Linux oraz na kilkuset systemach opartych na FreeBSD, OpenBSD i Solaris. Oko\u0142o 110 tysi\u0119cy serwer\u00f3w pozosta\u0142o zainfekowanych Ebury na koniec 2023 roku. Badanie to budzi szczeg\u00f3lne zainteresowanie z uwagi na fakt, \u017ce Ebury by\u0142o zaanga\u017cowane w atak na kernel.org, co ujawnia pewne nowe szczeg\u00f3\u0142y dotycz\u0105ce kompromitacji infrastruktury rozwoju j\u0105dra Linux, zidentyfikowanej w 2011 roku. Ebury zosta\u0142o r\u00f3wnie\u017c zidentyfikowane na serwerach rejestrator\u00f3w domen, gie\u0142d kryptowalut, w\u0119z\u0142ach wyj\u015bciowych Tor oraz u kilku dostawc\u00f3w hostingu,<\/a>, kt\u00f3rych nazwy nie s\u0105 ujawniane. <\/p>\n

Pocz\u0105tkowo zak\u0142adano, \u017ce atakuj\u0105cy serwery<\/a> Atakuj\u0105cy kernel.org pozostawali niezauwa\u017ceni przez 17 dni, ale wed\u0142ug danych ESET ten czas jest obliczany od momentu wprowadzenia rootkita Phalanx, podczas gdy tylne drzwi Ebury znajdowa\u0142y si\u0119 na serwerach od 2009 roku i przez oko\u0142o dwa lata mog\u0142y by\u0107 wykorzystywane do uzyskania dost\u0119pu roota do serwer\u00f3w. Z\u0142o\u015bliwe oprogramowanie Ebury i Phalanx zosta\u0142o zainstalowane w ramach r\u00f3\u017cnych atak\u00f3w, kt\u00f3re nie mia\u0142y ze sob\u0105 zwi\u0105zku i by\u0142y przeprowadzane przez r\u00f3\u017cne grupy przest\u0119pcze. Wdro\u017cenie tylnego wej\u015bcia Ebury mia\u0142o wp\u0142yw na co najmniej 4 serwery w infrastrukturze kernel.org, z czego dwa by\u0142y zainfekowane przez oko\u0142o dwa lata, a pozosta\u0142e dwa \u2014 przez 6 miesi\u0119cy. <\/p>\n

Atakuj\u0105cy uzyskali dost\u0119p do hase\u0142 551 u\u017cytkownik\u00f3w przechowywanych w \/etc\/shadow, w\u015br\u00f3d kt\u00f3rych byli wszyscy opiekunowie j\u0105dra (kontakty by\u0142y u\u017cywane do uzyskiwania dost\u0119pu do Gita; po incydencie has\u0142a zosta\u0142y wymienione, a model dost\u0119pu zosta\u0142 przemy\u015blany i wprowadzono cyfrowe podpisy). Dla 257 u\u017cytkownik\u00f3w atakuj\u0105cym uda\u0142o si\u0119 okre\u015bli\u0107 has\u0142a w postaci otwartego tekstu, prawdopodobnie poprzez atak si\u0142owy przy u\u017cyciu skr\u00f3t\u00f3w i poprzez przechwytywanie hase\u0142 u\u017cywanych w SSH przez z\u0142o\u015bliwy komponent Ebury. <\/p>\n

Z\u0142o\u015bliwy komponent Ebury by\u0142 rozpowszechniany jako biblioteka wsp\u00f3\u0142dzielona, kt\u00f3ra po zainstalowaniu przechwytywa\u0142a funkcje u\u017cywane w OpenSSH w celu zorganizowania zdalnego dost\u0119pu do systemu z uprawnieniami roota. Atak by\u0142 przypadkowy i, podobnie jak inne dotkni\u0119te tysi\u0105ce host\u00f3w, serwery kernel.org by\u0142y wykorzystywane jako cz\u0119\u015b\u0107 botnetu do rozsy\u0142ania spamu, kradzie\u017cy danych logowania w celu rozpowszechnienia ich w innych systemach, przekierowywania ruchu sieciowego i dokonywania innych dzia\u0142a\u0144 z\u0142o\u015bliwych. <\/p>\n

Do w\u0142ama\u0144 na serwery wykorzystywane by\u0142y nieza\u0142atane luki w oprogramowaniu serwerowym, na przyk\u0142ad luki w panelach hostingowych, lub przechwycone has\u0142a (zak\u0142ada si\u0119, \u017ce serwery kernel.org zosta\u0142y z\u0142amane w wyniku kompromitacji has\u0142a jednego z u\u017cytkownik\u00f3w, kt\u00f3ry mia\u0142 dost\u0119p do pow\u0142oki). W celu podniesienia uprawnie\u0144 wykorzystywane by\u0142y luki, takie jak Dirty COW. <\/p>\n

Nowe wersje Ebury stosowane w ostatnich latach, poza backdoorem, zawiera\u0142y funkcje takie jak modu\u0142y do Apache httpd do proxy'owania ruchu, przekierowywania u\u017cytkownik\u00f3w i przechwytywania poufnych informacji, modu\u0142 j\u0105dra do modyfikacji tranzytowego ruchu HTTP, narz\u0119dzia do ukrywania w\u0142asnego ruchu przed zaporami sieciowymi, skrypty do przeprowadzania atak\u00f3w AitM (Adversary-in-the-Middle, dwukierunkowy MiTM) w celu przechwytywania danych logowania SSH w sieciach dostawc\u00f3w us\u0142ug hostingowych.

\"Wbudowany<\/center>
\n
\u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 ESET \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0438 43-\u0441\u0442\u0440\u0430\u043d\u0438\u0447\u043d\u044b\u0439 \u043e\u0442\u0447\u0451\u0442 \u0441 \u0430\u043d\u0430\u043b\u0438\u0437\u043e\u043c \u0440\u0443\u0442\u043a\u0438\u0442\u0430 Ebury \u0438 \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u043e\u0439 \u0441 \u043d\u0438\u043c \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438. \u0423\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e Ebury \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u0442\u0441\u044f \u0441 2009 \u0433\u043e\u0434\u0430 \u0438 \u0441 \u0442\u0435\u0445 \u043f\u043e\u0440 \u0431\u044b\u043b \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d \u043d\u0430 \u0431\u043e\u043b\u0435\u0435 \u0447\u0435\u043c 400 \u0442\u044b\u0441\u044f\u0447 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u043f\u043e\u0434 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435\u043c Linux \u0438 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0441\u043e\u0442\u0435\u043d \u0441\u0438\u0441\u0442\u0435\u043c \u043d\u0430 \u0431\u0430\u0437\u0435 FreeBSD, OpenBSD \u0438 Solaris. \u041e\u043a\u043e\u043b\u043e 110 \u0442\u044b\u0441\u044f\u0447 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u043e\u0441\u0442\u0430\u0432\u0430\u043b\u0438\u0441\u044c \u043f\u043e\u0440\u0430\u0436\u0435\u043d\u044b Ebury […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":115823,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-115822","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 SSH-backdoor, zainstalowany podczas w\u0142amania do kernel.org, przez dwa lata pozostawa\u0142 niezauwa\u017cony | ProHoster","description":"Badacze z firmy ESET opublikowali 43-stronicowy raport z analiz\u0105 rootkita Ebury i zwi\u0105zanej z nim aktywno\u015bci.","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/news\/ssh-bekdor-ustanovlennyj-pri-vzlome-kernel-org-dva-goda-ostavalsya-nezamechennym","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47SSH-\u0431\u044d\u043a\u0434\u043e\u0440, \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0439 \u043f\u0440\u0438 \u0432\u0437\u043b\u043e\u043c\u0435 kernel.org, \u0434\u0432\u0430 \u0433\u043e\u0434\u0430 \u043e\u0441\u0442\u0430\u0432\u0430\u043b\u0441\u044f \u043d\u0435\u0437\u0430\u043c\u0435\u0447\u0435\u043d\u043d\u044b\u043c | ProHoster","og:description":"\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 ESET \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0438 43-\u0441\u0442\u0440\u0430\u043d\u0438\u0447\u043d\u044b\u0439 \u043e\u0442\u0447\u0451\u0442 \u0441 \u0430\u043d\u0430\u043b\u0438\u0437\u043e\u043c \u0440\u0443\u0442\u043a\u0438\u0442\u0430 Ebury \u0438 \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u043e\u0439 \u0441 \u043d\u0438\u043c \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438.","og:url":"https:\/\/prohoster.info\/pl\/blog\/news\/ssh-bekdor-ustanovlennyj-pri-vzlome-kernel-org-dva-goda-ostavalsya-nezamechennym","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2024-05-16T06:59:20+00:00","article:modified_time":"2024-05-16T06:59:20+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"115822","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-09 17:22:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-01-23 00:28:19","updated":"2026-02-09 17:22:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/115822","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=115822"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/115822\/revisions"}],"predecessor-version":[{"id":159151,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/115822\/revisions\/159151"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media\/115823"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=115822"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=115822"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=115822"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}