SSH violato, Linux sotto scacco

L’allarme è stato lanciato dal CERT statunitense nelle scorse ore: i sistemi equipaggiati con Linux sono al centro dell’attenzione dei malintenzionati, che hanno da poco intrapreso una massiccia campagna di sondaggio dei server alla ricerca di varchi nei quali penetrare. Una volta individuata una preda vulnerabile, i cracker si insinuano tra le pieghe del sistema, installando l’evoluzione di un tool maligno già noto, allo scopo di allargare la fetta dei server sotto il loro controllo.

Il problema, secondo CERT , sarebbe legato alla vulnerabilità di cui ha sofferto in passato il pacchetto OpenSSH : un certo numero di chiavi è finito tra le mani dei blackhat, che ora le sfruttano per penetrare nei sistemi che non siano stati aggiornati. Una volta dentro, un exploit locale viene lanciato per prendere il controllo della macchina e provvedere ad installare un rootkit denominato phalanx2 : derivato dall’omonimo progenitore, il suo compito è andare alla ricerca di altre chiavi SSH e farne una copia per gli attaccanti, così da allargare il cerchio dell’infezione ad altri sistemi.

Pochi e semplici, secondo le indicazioni fornite dagli esperti statunitensi, i passaggi necessari a verificare l’eventuale infezione del proprio sistema. Un semplice ls non sarebbe in grado di rivelare la directory nascosta /etc/khubd.p2/ , accessibile in ogni caso con il comando cd . Altri metodi per individuare l’infezione sono la ricerca di eventuali processi nascosti in esecuzione, oppure la verifica a mano del contenuto della directory /etc rispetto a quanto restituito da ls in una console.

Naturalmente nei prossimi giorni è lecito attendersi alcune modifiche al modus operandi dei malintenzionati, così come al codice e alle caratteristiche del rootkit installato. Per questo, dal CERT parte l’appello a tutti gli amministratori affinché tengano d’occhio i sistemi Linux a loro affidati, verificando l’aggiornamento del pacchetto OpenSSH , l’eventuale compromissione di una o più chiavi SSH presenti sulle loro macchine, ed infine invitando tutti i propri utenti a cambiare le rispettive chiavi di accesso per abbattere il rischio attuale.

Dal CERT non è giunta alcuna spiegazione o indiscrezione su come questo tipo di attacco possa essere partito. La possibilità più concreta, suggerisce qualcuno, è che tutto possa essere scaturito dal problema incontrato dalla distribuzione Debian (e tutte le sue derivate, come Ubuntu) negli scorsi mesi, a causa di un generatore di numeri random presente nel pacchetto OpenSSH rivelatosi ben poco abile nello svolgere il proprio lavoro. Inoltre, è di questa settimana la notizia che anche la repository di RedHat è stata presa di mira dai malintenzionati, e proprio i pacchetti OpenSSH sono stati oggetto di un tentativo di modifica probabilmente in previsione di questi eventi.

In ogni caso, precisano gli esperti d’oltreoceano, l’attuale vulnerabilità non è legata alla struttura del sistema operativo Linux, ma alla singola buona osservanza delle opportune regole di protezione e manutenzione da parte dei gestori dei sistemi: “Se gli admin non rendono sicuro Linux – scrive Matt Asay – non sarà sicuro”. Coloro i quali hanno provveduto ad applicare le patch necessarie a tempo debito, e tengono sotto controllo i log dell’accesso ai server, non dovrebbero correre rischi particolari in questa fase.

Luca Annunziata