Un gusano de red basado en código abierto llamado SSH-Snake ha sido reutilizado por actores de amenazas para realizar actividades maliciosas. La herramienta permite a los atacantes propagarse dentro de una red utilizando credenciales SSH descubiertas.
Funcionamiento y características
SSH-Snake es un gusano que explota las credenciales SSH encontradas en sistemas comprometidos para expandirse por la red. Busca automáticamente ubicaciones de credenciales conocidas y archivos de historial de shell para identificar su próximo movimiento.
La herramienta fue lanzada inicialmente en GitHub a principios de enero de 2024. Su desarrollador lo describe como una «herramienta poderosa» para realizar un recorrido automático de la red utilizando claves privadas SSH descubiertas.
SSH-Snake crea un mapa completo de una red y sus dependencias, lo que ayuda a determinar hasta qué punto una red puede verse comprometida mediante el uso de SSH. También admite la resolución de dominios con múltiples direcciones IPv4.
Autonomía y propagación
Según la descripción del proyecto, SSH-Snake es «completamente autorreplicante y autopropagante» y «completamente sin archivos». En muchos sentidos, se comporta como un gusano: se replica y se propaga de un sistema a otro tanto como puede.
Impacto en la seguridad
Sysdig señaló que el script de shell no solo facilita el movimiento lateral, sino que también proporciona sigilo y flexibilidad adicionales que otros gusanos SSH típicos no ofrecen. La compañía observó que actores de amenazas han implementado SSH-Snake en ataques del mundo real para recopilar credenciales, direcciones IP de los objetivos y el historial de comandos bash.
Estos ataques implican la explotación activa de vulnerabilidades conocidas en instancias de Apache ActiveMQ y Atlassian Confluence para obtener acceso inicial e implementar SSH-Snake.
Comentarios del desarrollador
Joshua Rogers, el desarrollador de SSH-Snake, destacó que la herramienta puede ayudar a los propietarios legítimos de sistemas a identificar debilidades en su infraestructura antes de que lo hagan los atacantes. Instó a las empresas a utilizar SSH-Snake para «descubrir el ataque y arreglarlo».
Rogers también llamó la atención sobre las «operaciones negligentes» de empresas que diseñan e implementan infraestructuras inseguras, que pueden ser fácilmente controladas por un simple script de shell. Afirmó que si los sistemas se diseñaran y mantuvieran de manera sensata, las consecuencias de la ejecución de dicho script se minimizarían.
Además, Rogers señaló que los equipos de seguridad de las empresas deberían realizar una reestructuración total de sus sistemas por parte de especialistas en seguridad capacitados, no aquellos que crearon la arquitectura en primer lugar.