Организация US-CERT выпустила информационное письмо с предупреждением о набирающей обороты автоматизированной атаке по взлому Linux систем.

Суть атаки в следующем: Путем перебора тривиальных паролей и типичных логинов, а также при наличии беспарольных ssh входов с другой атакованной системы, осуществляется попытка проникновения на машину.

В случае удачи создается "черный ход" - в файлы .ssh/known_hosts и .ssh/authorized_keys вносятся изменения, позволяющие злоумышленнику или червю в дальнейшем, после смены пароля пользователя, повторно проникать в систему через аутентификацию по ключам в ssh (вероятно, что данные изменения могут быть внесены в файлы ssh через какую-либо локальную уязвимость, допускающую только модификацию файлов пользователем, например, уязвимость в firefox, а затем использованы для продолжения атаки). Далее производится попытка получения привилегий суперпользователя, путем применения vmsplice (?) эксплоита для Linux ядра. И в заключении, начальная фаза атаки завершается установкой rootkit комплекта phalanx2, скрывающего файлы, процессы и сокеты злоумышленника, а также осуществляющего сниффинг локальных паролей. Определить наличие данного руткита можно осуществив переход в скрытую директорию /etc/khubd.p2 (ls ничего не покажет, но переход по cd сработает).

Интересной особенностью является возможность распространения червя по ssh ключам - на успешно атакованной машине производится поиск всех ssh ключей, по которым возможен беспарольный вход на другие машины, далее червь пытается зайти на те машины и продолжить свое распространение.

US-CERT рекомендует администраторам серверов, пользователи которых используют беспарольную аутентификацию при входе с внешних машин, провести детальный аудит всех беспарольных точек входа в систему, в случае обнаружения входов с сомнительных, с позиции безопасности, машин или наличия на удаленных машинах активности руткита phalanx2, рекомендуется запретить для пользователей этих машин беспарольную аутентификацию по SSH ключам.