SSH上の偵察のみの活動は、無害なバックグラウンドノイズではありません。最近ハニーポットで観測されたセッションでは、Go言語ベースの自動化ボットがrootとしてログインし、暗号資産マイニングへの適性を判断するためホストのハードウェアを徹底的に評価した後、バイナリを一切投下せずに退出したことが明らかになりました。
リアルなLinuxの偽シェルを提供し、コマンドの全記録を残すCowrieは、91.92.40.13からの接続を記録しました。このIPは単純なパスワード「123123」を初回試行でrootとして認証し、約8秒後に切断しています。
SSHクライアント文字列「SSH-2.0-Go」から、このセッションが人間のオペレーターではなく自動化ツールによるものであることが即座に判明しました。ファイルの取得も、永続化の試みも、第二段階のプロセス起動も一切なく、偵察のみが行われました。
Cowrieの記録によると、実行されたコマンドは2つで、いずれも完全に情報収集に特化していました。一般的なボットネットに典型的な「curl | sh」やwgetベースのローダーチェーンとは異なり、この攻撃者は滞在時間のすべてをホストのプロファイリングに費やしていました。
この挙動の違いこそが重要な点です。これは単なる誤作動ではなく、選別のためのパスだったのです。
最初のコマンドは、構造化されたハードウェア・環境調査を実行しました。unameでOSとカーネル、CPUアーキテクチャとコア数、CPUモデルを取得した後、lspciを呼び出してNVIDIA製GPUの有無を特に探っています。
システムの稼働時間と直近のログイン(last)も収集されました。各値は、UNAME、ARCH、CPUS、CPU_MODEL、GPU、LASTという明確にラベル付けされたフィールドとして出力されており、機械による解析とその後の判断のために設計された形式でした。
2つ目のコマンドは/proc/meminfoを読み取り、物理メモリが1,048,576 KB(1GB)を超えるかどうかを計算し、その確認をsudo -S経由で実行しました。同じパスワードを再利用することで、対話なしにフルroot権限への昇格が成功するかどうかを試したのです。
SANSの技術研究者らによると、Raspberry Pi 4上に構築されCowrie SSHハニーポットを稼働させているインターネット公開型のDShieldセンサーが、短時間ながら異例なほど統制の取れた攻撃を捕捉したとのことです。
これらを総合すると、この一連の流れは暗号資産マイニングまたはリソース乗っ取りの手口と強く一致します。マイナーは、CPU、GPU、RAMの最低条件を満たすハードウェアにのみ展開する価値があり、オペレーターは投入前にroot権限の確保を確認したいと考えるものだからです。
偵察のみのSSH攻撃
対照的に、サービス拒否(DDoS)ボットネットは、個別のGPUの有無や正確なCPUモデルには関心がなく、必要なのは接続性のみです。
6月上旬には、同じセンサーが非常に異なるSSHキャンペーンを記録していました。これは、認証を行った後curl/wget/`/dev/tcp`を連鎖させてELFバイナリを取得し、即座にホストをDDoSボットネットへ組み込むローダーでした。
このローダーはIPアドレスとC2エンドポイントをローテーションさせていましたが、HASSHフィンガープリントはセッション間で一貫しており、単一のキャンペーンとして関連付けることができました。
今回の偵察優先型マイニングボットは、異なるSSHクライアントと異なるHASSH(2ec37a7cc8daf20b10e1ad6221061ca5)を提示しており、これはDDoSオペレーターによる戦術の変化ではなく、別の攻撃者であることを示しています。
重要なのは、ペイロードが投下されなかったことが「影響なし」を意味するわけではないという点です。偵察のみのログインは、2段階からなる侵入の第一段階であることがしばしばあります。今はハードウェアの評価を行い、後になって別のアドレスやツールセットから、マイナーや他のリソース集約型ペイロードを展開するという構図です。
「見るだけ」のセッションを無視してよいノイズとして扱うことは、侵害に先行するまさにその下見活動を見逃すリスクを伴います。この傾向は、CowrieおよびSSHハニーポット研究において繰り返し指摘されてきたパターンです。
今回のインシデントから得られる観測可能な指標は明確です。送信元IPは91.92.40.13(VirusTotalでは複数の悪意・不審フラグを報告、ASN 197170 TechTies Inc.、オランダ)、SSHクライアント文字列はSSH-2.0-Go、HASSHも判明しています。
その挙動は、大規模なハードウェア調査に加え、RAMのしきい値確認とsudo -Sによる権限テストで特徴づけられます。SOCチームやハニーポット運用者にとって、このパターンは差し迫った暗号資産マイニングやリソース窃取の高価値なシグナルとして扱うべきものです。
防御側は、CPUモデルの列挙、NVIDIA GPUを狙った探索、明示的なしきい値に対する/proc/meminfoの確認、そして非対話型のsudoパスワード再利用を組み合わせたセッションにアラートを設定することで、検知を強化できます。これらの特徴は、大規模なSSHハニーポットのデータセットやCowrieログの機械学習分析において際立つものです。
マルウェアが投下されていない場合でも、これらの痕跡は、公開されたLinuxおよびクラウドホストを静かに評価しているマイニング目的の攻撃者に対する早期警戒となります。
100万ドルのデータ侵害保証は本当に有効な補償なのか?: 10ポイントのAI SOC侵害保証無料ガイドをダウンロード
ComputerSecurity
翻訳元: https://gbhackers.com/recon-only-ssh-attack/
