SSH-Server mit SSH-Tunneling hacken

Dieser Angriffsvektor ist seit langem bekannt, ihm wurde bis dato aber wenig Aufmerksamkeit geschenkt.

Das Research-Team Nautilus von Aqua Security hat nach mehrmonatiger Forschung herausgefunden, wie Bedrohungsakteure mittels gängigem SSH-Tunneling SSH-Server als Slave-Proxy nutzen. Dabei geht es den Betrügern neben dem Informationsdiebstahl auch um Kryptomining. Die kompromittierten SSH-Server werden dann im Dark Web als Teil von Proxy-Tool-Paketen angeboten.

Was ist SSH-Tunneling?

SSH-Tunneling ist eine häufig genutzte Methode, mit der sichere und verschlüsselte Netzwerkverbindungen zwischen zwei Servern hergestellt werden. So lassen sich Daten über ein nicht vertrauenswürdiges Netzwerk übertragen. Der Hauptzweck besteht darin, einen sicheren Kommunikationskanal zwischen einem lokalen und einem entfernten Host zu schaffen, der dann zum Tunneln verschiedener Netzwerkprotokolle und -dienste verwendet werden kann.

Spam-Versand, Stehlen von Informationen oder Kryptomining

Cyberkriminelle haben verschiedene Ziele bei der Übernahme von SSH-Servern. Ein Anwendungszweck für Kriminelle ist die Verbreitung von SPAM, die normalerweise durch die Ausnutzung von Webanwendungen, Kontoübernahmen oder Malware erfolgt. Cyberkriminelle haben nun offenbar Wege gefunden, um SSH-Server zu kompromittieren und ihre SPAM-Kampagnen mittels SSH-Tunnelings über die kompromittierten SSH-Server ihrer nichtsahnenden Opfer abzuwickeln. Des Weiteren haben es die Kriminellen auf Informationen auf den Servern abgesehen. Es wurden Domain-Lookup-Anfragen beobachtet, bei denen versucht wurde, „Whois“-Daten abzurufen, sowie Geolocation-Anfragen, bei denen Informationen über IP-Adressen gesucht wurden. Außerdem fielen API-Anfragen auf, die an verschiedene Dienste gerichtet waren, darunter auch die Steam-API. Steam ist eine Spiele-Website, und es scheint, dass diese Anfragen darauf abzielen, Informationen über verschiedene Nutzer zu sammeln. Auch Kryptomining-Aktivitäten und Script-Kiddies wurden beobachtet.

Warum sollte man über SSH-Tunneling besorgt sein?

Angreifer können über einen kompromittierten SSH-Zugang die vollständige Kontrolle über einen Server erlangen. Dies kann zu erheblichen Auswirkungen führen. So kann ein kompromittierter SSH-Server den Ruf einer IP-Adresse schädigen, was zu IP-Adresssperren führen kann, die den ausgehenden E-Mail-, Daten- oder sonstigen Verkehr unterbrechen. Auch der Ruf eines Unternehmens kann durch die Assoziation mit betrügerischen oder bösartigen Aktivitäten leiden. Daher kann sich diese Art von Angriff auch ohne eine Datenverletzung negativ auf Unternehmen auswirken.

Durchschnittlicher täglicher Angriffstrend über einen Zeitraum von zwei Monaten auf einen einzelnen Honeypot, beschränkt auf SSH-Tunneling-Angriffe. (Quelle: Aqua Security)

Schutzmaßnahmen

Wie immer gilt, dass bösartiges Verhalten so früh wie möglich erkannt werden sollte. Da es SSH-Tunneling auf SSH-Server abgesehen haben, die Teil der cloud-native Infrastruktur eines Unternehmens sind, ist die Abwehr nur so gut, wie die Sicherheit der cloud-native Umgebung. Mithilfe einer Cloud Native Application Protection Platform (CNAPP) können sowohl Fehlkonfigurationen in SSH-Servern als auch bösartiges Verhalten erkannt werden. Dies sind weitere Empfehlungen, um die Sicherheit betroffener Umgebungen zu gewährleisten:

• Verhindern sie unnötigen SSH-Zugang.
• Verwenden sie Tools zur Netzwerküberwachung, um den ein- und ausgehenden Datenverkehr zu blockieren oder einzuschränken.
• Verwenden sie starke, eindeutige Passwörter oder eine schlüsselbasierte Authentifizierung für den SSH-Zugang.
• Implementieren Sie eine Multi-Faktor-Authentifizierung (MFA), um die SSH-Sicherheit zu erhöhen.
• Überwachen Sie SSH-Protokolle auf ungewöhnliche Aktivitäten oder mehrfach fehlgeschlagene Anmeldeversuche.
• Aktualisieren und patchen sie SSH-Software regelmäßig, um bekannte Schwachstellen zu beseitigen.
• Erwägen Sie die Verwendung einer auf SSH-Zertifikaten basierenden Authentifizierung, um die Sicherheit zu erhöhen.
• Sie können das Tunneln von Ports leicht blockieren, indem Sie Folgendes ändern: „AllowTCPForwarding no“.

Einen detaillierten Blog des Research-Teams Nautilus über die neue Bedrohung SSH-Tunneling finden Sie hier.

www.aquasec.com