SSH-Snake Worm byggd från legitimt verktyg med öppen källkod

Ett nytt verktyg med öppen källkod för nätverkskartläggning, känt som SSH-Snake, har återanvänts av illvilliga aktörer i olagliga syften. Sysdig-forskare avslöjade att SSH-Snake, identifierad som en självmodifierande mask, utnyttjar SSH-referenser som finns på komprometterade system för att sprida sig över nätverket. Masken skannar självständigt välkända referensplatser och skalhistorikfiler för att avgöra nästa åtgärder.

SSH-Snake, som släpptes på GitHub i början av januari 2024, kännetecknas av sin utvecklare som ett potent verktyg för automatisk nätverksövergång, med hjälp av privata SSH-nycklar som upptäckts på system. Den skapar en detaljerad karta över ett nätverk och dess beroenden, och hjälper till att mäta den potentiella kompromissen av ett nätverk via SSH och SSH privata nycklar som kommer från en specifik värd. Verktyget kan också lösa domäner med flera IPv4-adresser.

SSH-Snake självreplikerar, skördar data

SSH-Snake, som beskrivs som helt självreplikerande, självförökande och fillös, beter sig som en mask genom att spridas från ett system till ett annat. Sysdig noterade att skalskriptet inte bara underlättar sidorörelse utan också ger mer smyg och flexibilitet jämfört med typiska SSH-maskar.

I verkliga attacker distribuerar hotaktörer SSH-Snake för att samla in referenser, rikta in sig på IP-adresser och bash kommandohistorik efter att ha upptäckt en kommando-och-kontrollserver som är värd för data. Dessa attacker involverar aktivt utnyttjande av kända säkerhetssårbarheter i Apache ActiveMQ och Atlassian Confluence-instanser för att få initial åtkomst och distribuera SSH-Snake.

Forskare betonade att SSH-Snake försöker utnyttja den rekommenderade metoden att använda SSH-nycklar, vilket ger hotaktörer ett smartare och mer pålitligt sätt att utöka sin räckvidd till ett nätverk när de väl har etablerat sig.

På frågan om SSH-Snake hävdade Joshua Rogers, verktygets utvecklare, att verktyget tillåter legitima systemägare att identifiera sårbarheter i sin infrastruktur innan angripare gör det. Rogers uppmuntrade företag att använda SSH-Snake för att upptäcka befintliga attackvägar och ta itu med dem proaktivt. Han argumenterade mot den vanliga uppfattningen att cyberterrorism uppstår plötsligt, och förespråkade en proaktiv strategi för systemdesign och underhåll med omfattande säkerhetsåtgärder.