Akamai 威脅研究團隊發現攻擊者濫用 OpenSSH 漏洞新方式

2016 / 11 / 01

本篇文章內容由廠商提供，不代表資安人科技網觀點

內容遞送網路（content delivery network；CDN）服務的全球領導廠商 Akamai Technologies, Inc.（NASDAQ：AKAM）日前發表該公司威脅研究團隊（Threat Research team）的最新研究。Akamai 研究人員 Ory Segal 與 Ezra Caltum 發現近期有大量攻擊皆由攻擊者透過 IoT（物聯網）裝置，利用存在於OpenSSH的12 年漏洞由遠端產生攻擊流量，此種攻擊被稱為 SSHowDowN Proxy。

概覽
請注意，此研究及後續建議並非介紹新類型的漏洞或攻擊技術，而是要討論許多連網裝置的預設配置既有之弱點，而在 Akamai 客戶遭受的大規模攻擊活動中，經常可見這些裝置受到攻擊者的濫用。

根據威脅研究團隊的觀察，SSHowDowN Proxy 攻擊的來源裝置類型包括：
- CCTV（閉路電視）、NVR（網路錄影機）、DVR（數位錄影機）裝置（視訊監控）
- 衛星天線設備
- 網路裝置（例如路由器、熱點、WiMax、纜線數據機和 ADSL 數據機等）
- 連線網際網路的 NAS（網路附加儲存）裝置
- 其他容易遭受入侵的裝置

遭受入侵的裝置會用於：
- 針對眾多的網路目標及網路服務發動攻擊，例如 HTTP、SMTP 及網路掃描
- 針對代管連線裝置的內部網路發動攻擊

一旦惡意使用者存取網路管理主控台，就能入侵裝置的資料，甚至在某些情況下能完全掌控機器。

Akamai 威脅研究資深總監 Ory Segal 解釋：「DDoS 和其他網路攻擊進入了非常有趣的時代，稱之為『裝置漏洞無法修復的物聯網（The Internet of Unpatchable Things）』。工廠所生產的新裝置不僅具有可被利用的漏洞，甚至沒有任何有效的方法可以修復。我們已多年耳聞可能利用物聯網裝置進行攻擊的理論，然而很不幸地，這已成為事實。」

緩解
建議的緩解方法包括：
- 如果裝置可更改 SSH 密碼或金鑰，請修改廠商預設值。
- 如果裝置允許直接存取檔案系統：
- 在通用的 sshd_config 檔案中新增「AllowTcpForwarding No」。
- 針對所有使用者在 ~/ssh/authorized_keys 檔案中新增「no-port-forwarding」及「no-X11-forwarding」。
- 若以上兩種選項無法使用，或一般作業不需 SSH 存取，請透過裝置的管理主控台停用整個 SSH。

如果裝置是在防火牆後，請考慮採取以下一個或多個動作：
- 針對部署的 IoT 裝置停用從外部網路連入連接埠 22 的連線。
- 除運作必要的最低連接埠及 IP 位址組合之外，停用 IoT 裝置的對外連線。