La comunità della sicurezza informatica è stata recentemente messa in allerta dalla scoperta di un nuovo malware, noto come SSH-Snake, che ruba chiavi SSH private per diffondersi silenziosamente attraverso le reti. Questo worm, identificato dal Sysdig Threat Research Team (TRT), si distingue per la sua capacità di modificarsi autonomamente e di evitare i pattern comunemente associati agli attacchi automatizzati, rendendolo particolarmente insidioso.
L’innovativa minaccia di SSH-Snake
SSH-Snake, disponibile come asset open-source per la traversata di reti basate su SSH, inizia da un sistema e mappa le connessioni con altri host tramite SSH. Tuttavia, l’utilizzo maligno di questo strumento preoccupa gli esperti di sicurezza. Il malware esamina vari file e directory alla ricerca di chiavi SSH private, compresi i file di cronologia dei comandi, utilizzandoli per propagarsi a nuovi sistemi dopo aver mappato la rete.
La peculiarità di SSH-Snake risiede nella sua capacità di auto-modificarsi durante la prima esecuzione, rimuovendo commenti, funzioni superflue e spazi bianchi dal codice per ridurne le dimensioni e aumentarne l’efficienza.
Metodi di scoperta delle chiavi
SSH-Snake impiega metodi diretti e indiretti per scoprire chiavi private sui sistemi compromessi. Questi includono la ricerca in directory comuni, l’esame dei file di cronologia dei comandi per trovare riferimenti a chiavi SSH private e l’analisi dei log di sistema e della cache di rete per identificare obiettivi potenziali.
La scoperta di un server di comando e controllo (C2) utilizzato dagli operatori di SSH-Snake per immagazzinare dati raccolti dal worm, tra cui credenziali e indirizzi IP delle vittime, conferma lo stato operativo di questa minaccia. I dati indicano un’attiva sfruttazione di vulnerabilità note, come quelle di Confluence, per l’accesso iniziale e il successivo dispiegamento del worm.
Implicazioni per la sicurezza delle reti aziendali
L’emergere di SSH-Snake rappresenta un passo evolutivo nel panorama del malware, mirando a un metodo di connessione sicura ampiamente utilizzato negli ambienti aziendali. La sua capacità di eludere i rilevamenti tradizionali e di diffondersi lateralmente attraverso la rete rende essenziale per le organizzazioni adottare misure di sicurezza rafforzate, compresa la vigilanza sulle chiavi SSH e la verifica dell’integrità dei sistemi.
La diffusione di SSH-Snake sottolinea l’importanza di una gestione sicura delle chiavi SSH e di una continua valutazione delle minacce per proteggere le infrastrutture critiche dall’essere compromesse.
