Groep bestookt SSH-servers met 300.000 wachtwoorden
Een groep cybercriminelen die sinds vorig jaar juni actief is voert op grote schaal aanvallen uit tegen SSH-servers, waarbij er via meer dan 300.000 unieke wachtwoorden wordt geprobeerd om in te loggen. Zodra er toegang tot de server is verkregen wordt er uiteindelijk een DDoS-rootkit geïnstalleerd.
Via deze rootkit kunnen de aanvallers de overgenomen server DDoS-aanvallen laten uitvoeren. De cybercriminelen worden door Cisco en Level 3 als "SSHPsychos" en "Group 93" aangeduid. De groep zou met de inlogpogingen zoveel verkeer genereren dat alle gezamenlijke aanvallen op SSH van andere partijen gecombineerd in het niets vallen. De aanvallen bleken vanaf verschillende netblocks (reeksen IP-adressen) afkomstig te zijn. In samenwerking met backboneprovider Level 3 werd besloten de netblocks die de groep gebruikte uit te schakelen.
Als onderdeel van het proces waarschuwde Level 3 de verantwoordelijke providers, waarop de groep cybercriminelen opeens een nieuw netwerk voor hun scans en aanvallen gebruikte. Vanwege deze plotselinge overstap besloten Cisco en Level 3 om de routeringsmogelijkheden voor zowel het oude als nieuwe netblock te verwijderen. Volgens Cisco zal dit "hopelijk" de activiteiten van de groep voor een bepaalde tijd vertragen.
De netwerkgigant merkt op dat "detectors en protectors" niet langer aan de zijkant kunnen blijven zitten als cybercriminelen op zo'n flagrante wijze systemen aanvallen. De maatregelen hebben echter alleen effect op het deel van internet dat door Level 3 wordt verzorgd. Cisco roept dan ook andere partijen op om kwaadaardig verkeer van deze groep op internet te blokkeren. "Door samen te werken kunnen we een groep elimineren die geen moeite doet om hun kwaadaardige activiteiten te verbergen", aldus het bedrijf.
Beetje knullig
Beetje knullig
Om dezelfde reden dat de inlogpagina van je website voor de buitenwereld open staat: Het is een dienst die je levert aan mensen op internet.
Als je iedere manier om ergens in te loggen blokkeert uit angst voor brute force aanvallen voor alles behalve het interne netwerk, kom je niet ver meer.
Peter
Beetje knullig
Waarom niet?, met de juiste maatregels, denk aan fail2ban, token access en pw challenge logon uitgeschakeld zijn er weinig bezwaren.
Beetje knullig
Ahum:
https://www.debian-administration.org/article/152/Password-less_logins_with_OpenSSH
Chears
Beetje knullig
Beetje knullige opmerking, SSH kan heel goed en veilig voor de buitenwereld open staan. Waarom zou dat niet kunnen volgens jou?
SSH openzetten voor de buitenwereld is typisch iets dat de luie ICT-medewerker zou doen.
Al zal een bruteforce niet snel zijn doel treffen, en dusdanig niet een probleem vormen maar, zwakheden binnen het OpenSSH-protocol wel.
Pff, speciaal aangepaste firewalls, inzetten voor SSH, het zorgt er misschien voor dat het wat langer duurt, maar dan noch het staat open en punt uit.
<sarcasme aan>
Ja, waarom zouden we überhaupt iets publiekelijk open zetten voor het internet?
Laten we allemaal SSH als een Tor hidden service opzetten om deze aanvallen tegen te gaan...
</sarcasme uit>
Er zijn redenen om de default poorten te gebruiken voor aangeboden services, en er zijn ook redenen om juist niet de default poorten te gebruiken.
Laten we er van uitgaan de dat mensen die het opzetten weten waarom ze voor het ene hebben gekozen, en als er iets gebeurt ze ook er uit kunnen leren en het eventueel op een andere manier opzetten.
De machine waar je opuit komt niet zomaar zondermeer toegang geven tot de rest van je services/netwerk.
Wat zou SSH dan onveiliger zijn dan b.v. luisteren naar een (Open)VPN connectie?
SSH openzetten voor de buitenwereld is typisch iets dat de luie ICT-medewerker zou doen.
BS.
Pff, speciaal aangepaste firewalls, inzetten voor SSH, het zorgt er misschien voor dat het wat langer duurt, maar dan noch het staat open en punt uit.
Er zijn meerdere, simpele, methoden om ervoor te zorgen dat een SSH server veilig voor de "buitenwereld" is, en je bent ook niet beperkt om er maar één van te gebruiken. Als jij die methoden niet kent dan zegt dat meer iets over jou: jij was te lui om ernaar te zoeken..
Erg constructief, jongens......
Erg constructief, jongens......
Beter lezen, of verwacht je een kant en klare oplossing voor jouw persoonlijke situatie?
SSH openzetten voor de buitenwereld is typisch iets dat de luie ICT-medewerker zou doen.
Dit slaat echt wel op pindakaas want je kunt ze zelf blokken in je firewall (host based) en/of je kunt van je sshd server de authenticatie ook alleen met certificaten toestaan (dus geen wachtwoorden meer en 10x zo veilig). Oftewel een hydra/botnet buteforce aanval is dan totaal nutteloos. Maar ja, goed configureren is ook heeeeeeel lastig....
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
