I server SSH Linux mal protetti stanno diventando un bersaglio per gli attaccanti, che li utilizzano per installare scanner di porte e strumenti per attacchi di tipo “dictionary” (attacchi basati su elenchi di combinazioni comuni di username e password). Questi attacchi hanno l’obiettivo di individuare altri server vulnerabili e cooptarli in una rete per effettuare mining di criptovalute e attacchi DDoS (Distributed Denial-of-Service). Secondo AhnLab queste sono le caratteristiche dell’attacco.
Metodologia degli Attacchi
- Gli attaccanti tentano di indovinare le credenziali SSH di un server eseguendo un attacco di tipo “dictionary”.
- In caso di successo, viene poi distribuito altro malware, inclusi scanner, per cercare altri sistemi suscettibili su Internet.
- In particolare, lo scanner è progettato per cercare sistemi in cui la porta 22 (associata al servizio SSH) è attiva e poi ripete il processo di attacco “dictionary” per installare malware, propagando così l’infezione.
Aspetti Notabili dell’Attacco
- Viene eseguito il comando “grep -c ^processor /proc/cpuinfo” per determinare il numero di core della CPU.
- Gli strumenti utilizzati sono ritenuti creati dal PRG old Team, e ogni attore di minaccia li modifica leggermente prima di usarli negli attacchi.
- C’è evidenza dell’uso di tale software maligno già dal 2021.
Misure di Mitigazione
Per mitigare i rischi associati a questi attacchi, si raccomanda agli utenti di utilizzare password difficili da indovinare, di cambiarle periodicamente e di mantenere i loro sistemi aggiornati.
Contesto Più Ampio
Queste scoperte emergono mentre Kaspersky rivela che una nuova minaccia multi-piattaforma chiamata NKAbuse sta sfruttando un protocollo di connettività peer-to-peer decentralizzato noto come NKN (New Kind of Network) come canale di comunicazione per attacchi DDoS.
In conclusione, la sicurezza dei server SSH Linux è di fondamentale importanza per prevenire l’accesso non autorizzato e l’uso improprio dei sistemi per attività dannose come il mining di criptovalute e gli attacchi DDoS.