هکرها از نقص SSHole OpenSSH برای نفوذ به سیستم های لینوکس سوء استفاده می کنند

هکرها به طور فعال از آسیب‌پذیری SSHole (CVE-2026-123158) در OpenSSH برای اجرای دستورات، سرقت اطلاعات کاربری و ایجاد دسترسی دائمی سوء استفاده می‌کنند.

چندین شرکت امنیت سایبری این حملات را تأیید کرده‌اند و گزارش داده‌اند که تلاش‌های بهره‌برداری در 5 نوامبر، روزی که یک سوءاستفاده اثبات مفهومی در دسترس قرار گرفت، آغاز شد و روز بعد، بهره‌برداری موفقیت‌آمیز ثبت شد.

هفته گذشته توسط محقق امنیتی Ozgun Kultekin فاش شد، SSHole اجازه می دهد تا احراز هویت را در OpenSSH در حال اجرا بر روی برخی از سیستم های لینوکس مبتنی بر musl، از جمله توزیع سبک وزن آلپاین مورد استفاده در محیط های ابری و مجازی، دور بزنیم.

این نقص به مهاجمان اجازه می‌دهد تا با هش رمز عبور به صورت ستاره (*) وارد حساب‌ها شوند تا از ورود رمز عبور جلوگیری شود.

یک رمز عبور بزرگ باعث می‌شود که عملکرد هش کردن رمز عبور musl به خطای * روی برگرداند، که OpenSSH به اشتباه آن را مطابق با مقدار ذخیره شده حساب تلقی می‌کند.

Kultekin توضیح داد که بهره‌برداری به تنظیمات احراز هویت خاصی نیاز دارد، روی حساب‌های دارای هش رمز عبور معتبر تأثیر نمی‌گذارد، و می‌تواند منجر به دسترسی ریشه در جایی که حساب در معرض خطر دارای امتیازات مدیریتی بدون رمز عبور است، شود.

نگهبانان OpenSSH این آسیب‌پذیری را در نسخه 10.6p2 که در 5 نوامبر منتشر شد برطرف کردند، در حالی که کد اکسپلویت تقریبا چهار ساعت بعد در دسترس قرار گرفت.

شرکت امنیتی فنلاندی Defused در آخر هفته گفت که "تعداد کمی از بازیگران" را مشاهده کرده است که تلاش می کنند از SSHole سوء استفاده کنند، اگرچه این فعالیت گسترده نبود.

شرکت اطلاعاتی تهدید GreyNoise اولین بهره برداری موفقیت آمیز از SSHole در طبیعت را در 7 نوامبر در ساعت 00:46 UTC، تقریبا 40 ساعت پس از رفع مشکل، ثبت کرد.

محققان 16 زنجیره بهره برداری موفق را ثبت کردند که شبکه های محافظت شده توسط GreyNoise را از شش آدرس IP منبع مرتبط با فعالیت های پس از بهره برداری هدف قرار دادند. این شرکت می گوید که این حملات نشان دهنده فعالیت گسترده تر مربوط به SSHole نیست.

در حملاتی که GreyNoise مشاهده کرد، عامل تهدید سیستم و شناسایی کانتینر را اجرا کرد، پرس و جوهایی را برای سرویس‌های ابرداده ابری آغاز کرد، سعی کرد هش رمز عبور و کلیدهای ریشه SSH را بخواند، و سعی کرد فایل‌های SSH "authorized_keys" را برای دسترسی دائمی تغییر دهد.

یکی از مهاجمان امتیازات ریشه را به دست آورد و TAC Agent، یک عامل فرمان و کنترل پایتون را نصب کرد. با این حال، ایمپلنت نتوانست به سرور فرمان و کنترل (C2) خود در "tac.vpnla[.]org" برسد و هرگز وظیفه ای دریافت نکرد.

تجزیه و تحلیل بار عامل TAC نشان می دهد که ایمپلنت از اجرای فرمان پوسته، شناسایی سیستم گسترده، عملیات آپلود/دانلود فایل پشتیبانی می کند و می تواند خود را به روز کند.

عامل هیچ ماندگاری داخلی ندارد، بنابراین مهاجمان سعی می کنند با پیکربندی یک سرویس راه اندازی، آن را ایمن کنند.

GreyNoise اشاره می‌کند که نظرات، گزارش‌ها و خطاهای ایمپلنت به زبان چینی بود که ممکن است همراه با سایر شواهد برای تعیین منشاء مهاجم استفاده شود.

یافته‌ای که عملیات خودکار احتمالی را پیشنهاد می‌کند، یک بررسی ابزار گمشده است که بازخوردی را برمی‌گرداند که می‌تواند به برنامه‌ریز خودکار کمک کند تا دستورات لازم را برای ادامه حمله اصلاح کند.

به طور کلی، GreyNoise 27.5 میلیون اسکن پورت-22 و 20.1 میلیون جلسه تلاش SSH را ثبت کرده است، اگرچه این حملات SSHole تأیید شده نیستند.

حسگرهای شرکت امنیت شبکه Previdian نیز بهره برداری موفقیت آمیز SSHole را با داده های تله متری نشان می دهد که 20 تلاش از 13 آدرس IP مهاجم در 9 کشور را نشان می دهد.

شرکت امنیتی توهین آمیز WatchTower در 6 نوامبر گفت که مشاهده کرده است که SSHole در حملات مرتبط با بات نت ها و فعالیت های استخراج رمزنگاری مورد سوء استفاده قرار می گیرد.

مدیران سیستم باید OpenSSH را در اسرع وقت به روز کنند یا احراز هویت رمز عبور SSH را در سیستم های تحت تأثیر SSHole غیرفعال کنند.

همچنین توصیه می‌شود برای ورود موفقیت‌آمیز رمز عبور به حساب‌هایی که فیلد رمز عبور /etc/shadow آنها * است، کلیدهای SSH غیرمجاز و فایل‌های TAC Agent یا سرویس‌های راه‌اندازی بررسی کنید.

عوامل هوش مصنوعی Adaptive Security هدف، زمینه و رفتار ایمیل را برای کشف فیشینگ، در معرض خطر قرار دادن ایمیل تجاری و تقلب در صورت‌حساب تجزیه و تحلیل می‌کنند.

ببینید با اسکن 14 روزه فقط خواندنی Microsoft 365 یا Google Workspace، بدون هیچ تغییری در MX، چه اتفاقی می افتد.

SonicWall درباره نقص جدید بای پس SSL-VPN MFA هشدار می دهد که در حملات مورد سوء استفاده قرار می گیرد

نقص OpenSSH به مهاجمان اجازه می دهد تا وارد حساب های لینوکس غیرفعال شده با رمز عبور شوند

بیش از 1000 سرور GitLab در برابر حملات RCE مستمر آسیب پذیر هستند

CISA می گوید که حداکثر شدت نقص GitLab اکنون در طبیعت مورد سوء استفاده قرار گرفته است

آلپاین لینوکس GitLab را پس از تلاش برای حمله RCE بازسازی می کند