GT10 thử cài Python3 sau khi khai thác lỗ hổng SSH trên Alpine Linux

Kẻ tấn công khai thác lỗ hổng bỏ qua xác thực SSH trên Alpine Linux đã xâm nhập máy chủ quan sát của công ty an ninh mạng GreyNoise. Dấu vết cho thấy nhóm GT10 tìm cách cài Python3 và sử dụng công cụ điều khiển từ xa TAC Agent.

Trong tài liệu theo dõi công bố ngày 9, GreyNoise cho biết một máy chủ honeypot đặt tại Đông Nam Á đã bị nhóm mà công ty theo dõi với mã GT10 xâm nhập. Honeypot là máy chủ được vận hành để quan sát các nỗ lực tấn công và xâm nhập. GreyNoise cũng truy cập được máy chủ do GT10 sử dụng, qua đó thu thập manh mối về các mục tiêu tiềm năng và công cụ tấn công.

GreyNoise cho biết GT10 đã tìm cách cài Python3 trên những máy chủ chưa có Python3 và sử dụng TAC Agent trong cuộc tấn công.

TAC Agent hỗ trợ chạy lệnh shell, thu thập thông tin hệ thống và duy trì quyền truy cập. Chương trình có chú thích bằng tiếng Trung; GreyNoise nhận định công cụ này dường như được tạo bằng AI.

Previdian ghi nhận 20 nỗ lực tấn công nhắm vào lỗ hổng này qua các cảm biến của mình. Các nỗ lực đến từ 13 địa chỉ IP, được xác định tại 9 quốc gia. Con số 20 là số lần thử tấn công, không phải số máy chủ bị xâm nhập thành công hay số tổ chức bị ảnh hưởng.

Ngày 6, watchTowr cho biết đã quan sát hoạt động khai thác lỗ hổng có liên quan đến botnet và các hoạt động liên quan đến tài sản số. Đây là hoạt động được báo cáo riêng, không phải vụ xâm nhập máy chủ quan sát của GreyNoise do GT10 thực hiện.

Lỗ hổng mang mã CVE-2026-123158 có thể xuất hiện khi OpenSSH hoạt động cùng musl. OpenSSH xử lý kết nối từ xa qua SSH, còn lỗ hổng phát sinh trong quá trình xác minh mật khẩu.

musl là thư viện Linux thay thế libc được sử dụng rộng rãi. PAM là mô-đun xử lý xác thực người dùng và kiểm tra quyền truy cập tài khoản.

Không phải máy chủ Linux nào cũng bị ảnh hưởng. Máy chủ phải không sử dụng PAM và bật xác thực SSH bằng mật khẩu. Đồng thời, /etc/shadow phải có tài khoản với trường mật khẩu là dấu * và một tài khoản khác có mật khẩu được băm bằng SHA256 hoặc SHA512.

Kẻ tấn công nhập mật khẩu dài hơn 256 ký tự vào một tài khoản chưa được đặt mật khẩu. Lỗ hổng có thể bị kích hoạt khi OpenSSH băm chuỗi vừa nhập rồi đối chiếu với thông tin lưu trong /etc/shadow.

Trong tình huống này, hàm băm mật khẩu của musl trả về giá trị lỗi là dấu *. Nếu OpenSSH hiểu giá trị đó khớp với dấu * đã lưu, quá trình xác thực có thể được thông qua đối với tài khoản lẽ ra phải bị từ chối.

Alpine Linux cảnh báo cấu hình này có thể ảnh hưởng cả những tài khoản chỉ dùng khóa SSH. Khi đáp ứng các điều kiện dễ tổn thương, kẻ tấn công có thể truy cập tài khoản có quyền cao mà không cần xác thực.

Trước đó, TokenPost đã đưa tin về việc khai thác thực tế lỗ hổng SSH trên Alpine Linux và khuyến nghị cài bản vá trong bài viết này. Thông tin mới lần này là dấu vết cho thấy nhóm tấn công xâm nhập máy chủ quan sát, tìm cách cài Python3 và sử dụng TAC Agent.

OpenSSH đã phát hành bản sửa lỗi để ngăn chặn cuộc tấn công. Alpine Linux khuyến nghị cập nhật gói OpenSSH rồi khởi động lại dịch vụ SSH. Chỉ cập nhật gói sẽ không áp dụng bản sửa lỗi cho tiến trình SSH đang chạy. Nếu chưa thể cập nhật ngay, người dùng nên tắt xác thực bằng mật khẩu và khởi động lại dịch vụ.