ช่องโหว่ SSH ใน Alpine Linux ถูกใช้เจาะ honeypot กลุ่ม GT10 พยายามติดตั้ง Python3

ผู้โจมตีใช้ช่องโหว่ข้ามการยืนยันตัวตน SSH ในอัลไพน์ ลินุกซ์ (Alpine Linux) เจาะเซิร์ฟเวอร์ที่เกรย์นอยส์ (GreyNoise) ใช้สังเกตการณ์การโจมตี พร้อมพบร่องรอยว่ากลุ่ม GT10 พยายามติดตั้ง Python3 และใช้เครื่องมือควบคุมระยะไกล TAC Agent

เกรย์นอยส์ระบุในข้อมูลติดตามที่เผยแพร่เมื่อวันที่ 9 ว่า honeypot ในเอเชียตะวันออกเฉียงใต้ถูกกลุ่มที่บริษัทติดตามในชื่อ GT10 เจาะระบบ Honeypot คือเซิร์ฟเวอร์ที่ใช้สังเกตความพยายามโจมตีและการบุกรุก เกรย์นอยส์ยังเข้าถึงเซิร์ฟเวอร์ที่กลุ่ม GT10 ใช้ และพบเบาะแสเกี่ยวกับเป้าหมายที่อาจได้รับผลกระทบกับเครื่องมือโจมตี

เกรย์นอยส์พบว่ากลุ่มดังกล่าวพยายามติดตั้ง Python3 บนเซิร์ฟเวอร์ที่ไม่มีโปรแกรมนี้ และใช้ TAC Agent ในการโจมตี

TAC Agent รองรับการสั่งรันคำสั่งผ่านเชลล์ การเก็บข้อมูลระบบ และการคงสิทธิ์เข้าถึงไว้ในเครื่อง โปรแกรมมีคอมเมนต์ภาษาจีน โดยเกรย์นอยส์ระบุว่าดูเหมือนสร้างขึ้นด้วย AI

ผู้ให้บริการด้านความปลอดภัย พรีวิเดียน บันทึกความพยายามโจมตีช่องโหว่นี้ 20 ครั้งผ่านเซ็นเซอร์ของตน พบที่อยู่ IP ของผู้โจมตี 13 รายการจาก 9 ประเทศ ตัวเลข 20 หมายถึงจำนวนครั้งที่พยายามโจมตี ไม่ใช่จำนวนเซิร์ฟเวอร์ที่ถูกเจาะสำเร็จหรือองค์กรที่ได้รับผลกระทบ

ส่วน watchTowr เปิดเผยเมื่อวันที่ 6 ว่าพบการใช้ช่องโหว่ที่เชื่อมโยงกับบอตเน็ตและกิจกรรมเกี่ยวกับสินทรัพย์ดิจิทัล รายงานนี้เป็นกิจกรรมที่พบแยกต่างหากจากการบุกรุกเซิร์ฟเวอร์สังเกตการณ์ของเกรย์นอยส์ ซึ่งเชื่อมโยงกับ GT10

ช่องโหว่ CVE-2026-123158 อาจเกิดขึ้นเมื่อ OpenSSH ทำงานร่วมกับ musl โดย OpenSSH ใช้จัดการการเชื่อมต่อระยะไกลผ่าน SSH และช่องโหว่นี้เกิดขึ้นระหว่างการตรวจสอบรหัสผ่าน

musl เป็นไลบรารีของลินุกซ์ที่ใช้แทน libc ซึ่งเป็นไลบรารีมาตรฐานที่นิยมใช้ ส่วน PAM เป็นโมดูลสำหรับจัดการการยืนยันตัวตนผู้ใช้และตรวจสอบสิทธิ์เข้าถึงบัญชี

เซิร์ฟเวอร์ลินุกซ์ไม่ได้มีความเสี่ยงทั้งหมด เงื่อนไขที่จำเป็นคือระบบต้องไม่ใช้ PAM และเปิดการยืนยันตัวตน SSH ด้วยรหัสผ่าน อีกทั้งใน /etc/shadow ต้องมีทั้งบัญชีที่ช่องรหัสผ่านเป็น '*' และบัญชีอื่นที่ใช้รหัสผ่านแฮชแบบ SHA256 หรือ SHA512

ผู้โจมตีป้อนรหัสผ่านที่ยาวเกิน 256 ตัวอักษรให้บัญชีที่ไม่ได้ตั้งรหัสผ่าน จุดที่ทำให้ช่องโหว่ทำงานคือระหว่างที่ OpenSSH แฮชค่าที่ป้อน แล้วนำไปเปรียบเทียบกับข้อมูลใน /etc/shadow

ในกรณีนี้ ฟังก์ชันแฮชรหัสผ่านของ musl จะส่งค่าความผิดพลาด '*' กลับมา หาก OpenSSH ตีความค่านั้นว่าตรงกับ '*' ที่บันทึกไว้ การยืนยันตัวตนของบัญชีที่รหัสผ่านไม่ถูกต้องอาจผ่านได้

อัลไพน์ ลินุกซ์เตือนว่าภายใต้การตั้งค่าดังกล่าว แม้แต่บัญชีที่ใช้การยืนยันตัวตนด้วยกุญแจเท่านั้นก็อาจได้รับผลกระทบ หากมีเงื่อนไขของช่องโหว่ครบ ผู้โจมตีอาจเข้าถึงบัญชีที่มีสิทธิ์สูงได้โดยไม่ต้องยืนยันตัวตน

ก่อนหน้านี้ TokenPost รายงานการใช้ช่องโหว่ SSH ของอัลไพน์ ลินุกซ์โจมตีจริงและคำแนะนำให้อัปเดตแพตช์แล้ว ข้อมูลที่พบเพิ่มเติมครั้งนี้คือกลุ่มโจมตีบุกรุกเซิร์ฟเวอร์สังเกตการณ์ พยายามติดตั้ง Python3 และใช้ TAC Agent

OpenSSH ออกเวอร์ชันแก้ไขเพื่อป้องกันการโจมตีแล้ว อัลไพน์ ลินุกซ์แนะนำให้อัปเดตแพ็กเกจ OpenSSH และเริ่มบริการ SSH ใหม่ เพราะการเปลี่ยนแพ็กเกจเพียงอย่างเดียวจะยังไม่ทำให้การแก้ไขมีผลกับ SSH daemon ที่กำลังทำงานอยู่ หากยังอัปเดตไม่ได้ทันที บริษัทแนะนำให้ปิดการยืนยันตัวตนด้วยรหัสผ่านและเริ่มบริการใหม่