En kritisk sårbarhed i nogle Linux-systemer bliver nu aktivt udnyttet af hackere. Det skriver Ars Technica, som omtaler nye fund fra sikkerhedsfirmaet Greynoise.
Sårbarheden kaldes sshole og opstår i samspillet mellem OpenSSH og kodebiblioteket musl. Hvis et Linux-system bruger begge dele og samtidig opfylder visse andre krav, kan en angriber få uautoriseret adgang til konti med høje rettigheder på få sekunder.
OpenSSH er den software, mange Linux-enheder bruger til sikker fjernadgang. Det gør sårbarheden alvorlig, fordi den i praksis kan åbne for adgang til systemer uden almindeligt login.
Angreb er allerede registreret
Greynoise oplyser i en rapport, at firmaets honeypots i Sydøstasien er blevet angrebet af en gruppe, som det sporer som GT10. Honeypots er systemer, der er sat op for at opdage og følge angreb i realtid.
Ifølge Greynoise gennemførte gruppen det, firmaet beskriver som modne indtrængninger i systemerne. Greynoise fik efterfølgende adgang til en GT10-server, som viste mulige andre ofre og nogle af de værktøjer, der blev brugt i kampagnen.
En bagdør, som gruppen bruger i angrebene, indeholder kommentarer på kinesisk og ser ud til at være lavet med brug af AI. Det fremgår også af omtalen hos Ars Technica.
Installerer ekstra software på ofrenes maskiner
Greynoise oplyser også, at GT10 installerer Python3 på maskiner, hvor det ikke allerede findes. Det sker, fordi pakken er nødvendig for at køre hackergruppens bagdør, som spores under navnet TAC Agent.
TAC Agent understøtter blandt andet shell-kommandoer, systemrekognoscering og persistence. Det betyder i praksis, at angriberen kan køre kommandoer, kortlægge systemet og forsøge at bevare adgangen over tid.
OpenSSH har udsendt en rettelse, som ifølge Ars Technica forhindrer angrebene i at virke. Historien viser dermed, at truslen ikke længere kun er teoretisk, men allerede bliver brugt i konkrete angreb.