Operace Windigo

ESET informuje o Operaci Windigo (cs, sk, en, Operation Windigo Whitepaper (pdf, 69 stánek)): Společnosti ESET se společně s CERT-Bund, SNIC, CERN a dalšími podařilo odhalit síť 25 tisíc serverů ovládaných útočníky a zneužívaných ke kriminální činnosti. Většinu serverů jejich správci po upozornění vyčistili, ale 10 tisíc serverů útočníci stále ještě ovládají a nadále zneužívají ke kriminální činnosti. Převážně se jedná o servery s operačním systémem Linux (ověření, že systém nebyl napaden). Klíčovou komponentou útoku byl trojan Linux/Ebury, který byl odhalen již v roce 2011. Ovládnutí serverů však nebylo založeno na zneužití nějaké bezpečnostní díry v systému. Útoky spočívaly ve zneužití přístupových oprávnění administrátorů, která se útočníkům podařilo získat. Je zatím záhadou, jak se mohlo podařit získat přístupové údaje v tak masivním měřítku, a jak je možné, že tato operace zůstala tak dlouho bez povšimnutí.

19.3.2014 01:31 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[kavol]

prosím prosím mohl by sem někdo stručně napsat (nebo linknout, jestli to už někde je) wo co go, z hlediska způsobu útoku? - na jejich webu jsem se to nedozvěděl, a to pdfko je pro mě nějaký nečitelný, dlouhý, na jedný straně spousta zmrdspeaku a kydů okolo a na straně druhý až moc technický (přestal jsem listovat u screenshotů assembleru ...)

[petercheco]

V terminále spusť tento příkaz:

ssh -G 2>&1 | grep -e illegal -e unknown > /dev/null && echo "System clean" || echo "System infected"

Pokud jsi infikován přeinstaluj systém, protože tvá hesla byla ukradena.

[Radek Hladik]

Tendle příkaz už jsem viděl několikrát, ale ani jednou jsem neviděl popis proč zrovna takhle. Mám tomu rozumět tak, že určitě každý infikovaný stroj má upravenou verzi ssh, která má parametr -G ?

Protože třeba na tom https://www.cert-bund.de/ebury-faq píšou o kontrole pomocí podezřelých bloků SHM, ale o tom -G nepíšou ani ň.

[Ladislav Hagara]

Infikovaný stroj má upravenou verzi ssh, která nevypíše chybovou hlášku "illegal option -- G".

[Radek Hladik]

Díky za odkaz. To, co ten příkaz dělá, je jasné, spíš mi šlo o to pozadí, které je v tom odkazu poměrně pěkně popsáno. A překvapovalo mně, že všude copy/pastují ten příkaz, ale nikde není popsáno, proč

Druhou otázkou pak je, zda nejsou útočníci schopni nějak rychle svoje napadené stroje "ozáplatovat" dřív, než to admini zkusí...

A poslední otázkou by pak bylo, zda neexistuje varianta, kdy je třeba podvržené jen sshd nebo tak, prostě jak spolehlivá ta detekce přes přidaný ssh flag je...

[Ladislav Hagara]

Pokud mají útočníci práva roota, mohou cokoli, tedy i "ozáplatovat" napadené stroje dřív, než to admini zkusí...
Z každou sekundou se spolehlivost detekce snižuje. Pro útočníky není problém přeložit novou verzi ssh a rozdistribuovat ji na všechny servery v botnetu.

[chrono]

Ebury SSH Rootkit - Frequently Asked Questions

tl;dr ten rootkit musí byť spustený na serveri/počítači pod root oprávneniami.

[kavol]

príma, odpověď "What is Ebury?" je vpodstatě to, co mě zajímalo ... díky

[tomvec]

Pitvalo se už tady. Nebyla zneužita žádná bezpečnostní chyba, prostě se nabourali po uhádnutí hesla.

[Leos]

Základem je, že server je infikován buď uhodnutím hesla správce root (v případě, že je možné přímé přihlášení heslem) nebo tím, že se někdo přihlásí z infikovaného systému na server.

Záleží na úrovni oprávnění, které na serveru získají. Pokud superuživatelské, modifijuje daemona sshd, ssh, a ssh-add.

Dále zjišťuje, jestli je nainstalován Perl, webový server a DNS server. Tyto programy jsou napadeny. Webový server začne fongovat jako proxy a přesměrovává požadvky na servery se škodlivým obsahem s cílem rekvalifikovat Windows a Mac klienty na boty. Také spouští rozhraní, které útočníkům umožňuje skrytě ovládat server. Perl slouží jako front-end pro odesílání spamu. DNS server také přesměrovává na podivné domény s cílem dostat do klientů podvodný obsah.

Pokud nezískají superuživatelská práva, pokoušejí se alespoň zneužít Perl k odesílání spamu.

Celý systém napadení je výborně skrytý, minimálně u distribucí rodiny RedHat modifikuje signatury, tedy pomocí příkazu # rpm --verify co_kontrolovat administrátoři nezjistí problém. Pravděpodobně jim to funguje i u Debianu. Všechny detekce vycházejí z nepřímých zjištění.

Nepřipravil to žádný amatér, je to podle mě práce nějaké tajné služby. Systém je vychytaný prakticky k dokonalosti.

Skript pro provedení automatizovaných kontrol operace Windigo; najdete na našem blogu.

[Spike]

Nemají tajné služby na práci lepší věci než rozesílat spam?

[kavol]

mno, zlé konspirátorské jazyky tvrdí, že nemalá část příjmů jedné třípísmenkové agentury je z obchodu s drogami, takže proč ne i ze spamu? - navíc by to bylo výborné krytí, kdo by tomu věřil, že nemají lepší věci na práci než rozesílat spam, snad jen pár potrhlých konspirátorů

btw, řeč byla primárně o šíření malware a tvorbě botnetů, není náhodou spam výborná pomůcka - když uživatel nepřijde na zákeřnou sajtu sám, proč mu neposlat odkaz?

[Jendа]

Nepřipravil to žádný amatér, je to podle mě práce nějaké tajné služby. Systém je vychytaný prakticky k dokonalosti.

No já nevím, podle toho, co jsem si zatím přečetl, si myslím, že bych něco podobného taky uměl napsat :).

[PanZvedavy]

Bombasticka spravicka postradajici to nejzakladnejsi info...nejedna se o zadnou diru v sshd! Utocnici zkratka napadli par serveru a ziskali roota(studie nereseji jak), pointa je, ze celej system botnetu je podle elaboratu esetu postavenej na tom, ze se nekdo pripoji na uz napadeny server a z nej! provede ssh pripojeni na jiny server jeste nenapadeny a tak backdoor ziska potrebne udaje a retez botnetu pokracuje dal. Ten botnet je tak rozsahlej, protoze uz bezi nekolik let a co je na nem unikatniho, ze se autori snazi o co nejvejtsi zakryti stop-pozvedli to na novy level...pouzivani knihoven misto exe, vsechno je uchovavano v pameti apod.

Jako ochrana je doporucovano klasicke ...vypnuti prihlasovani heslem na sshd, zakazani prihlasovani roota, ssh agent forwarding a 2faktorova autentizace.  Takze nepanikarit.

[smazáno]

Jo, akorat se teda dostali i do kernel.org

[PanZvedavy]

takze se nekdo s root-like uctem na kernel.org pripojoval z infikovaneho serveru...kde je v tom bug v zabezpeceni na strane kernel.org?

[Jiří Lisický]

Ten problém na kernel.org, ale byl v roce 2011, ne? Měli tam i nějakou novější kompromitaci?

[petr_p]

To je ten samý případ.