Al parecer esta siendo activamente usado un exploit contra OpenSSH, pero se desconocen los detalles de la vulnerabilidad así como el código del exploit, por lo que no podemos hablar de un 0-day ni tratar esta información como completamente verídica.
Estos son los indicios conocidos:
1)Algunos proveedores de hosting han avisado a sus clientes de la desactivación temporal del servicio SSH. Ejemplo:
“Good afternoon folks,
As of a few moments ago I was notified that there’s a new SSH 0day
exploit floating around the web and is actively being used to exploit
providers. Until further notice SSH access is being disabled on 100%
of our shared and managed dedicated servers. We will update you via
email when the restriction is lifted. My apologies for any
inconvenience but as always: Security comes first before convenience.
To our lay clients who may not comprehend what SSH is — even better,
don’t worry we’ve got everything under control and you won’t miss a
thing. Your service will continue to function as normal.
A special note to those dedicated clients who don’t have fully managed
packages: I’d highly recommend turning down SSH access immediately.
We’ll be arriving on-site later this afternoon to cleanup any issues
caused by this.”
2) En la web http://romeo.copyandpaste.info/txt/ssanz-pwned.txt se puede ver un jugoso ejemplo del, por ahora, supuesto exploit contra OpenSSH.
anti-sec:~/pwn/xpl# ./0pen0wn -h xx.xx.xx.133 -p 22
[+] 0wn0wn - anti-sec group
[+] Target: xx.xx.xx.133
[+] SSH Port: 22
[~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~>]
sh-3.2# export HISTFILE=/dev/null
sh-3.2# id
uid=0(root) gid=0(root) groups=0(root),1(bin),2(daemon),3(sys),4(adm),6(disk),10(wheel)
sh-3.2# uname -a
Linux osiris.ssanz.net 2.6.24.5-grsec-hostnoc-4.0.0-x86_64-libata #1 SMP Mon Aug 25 15:56:12 EDT 2008 x86_64 x86_64 x86_64 GNU/Linux
sh-3.2# head -n1 /etc/shadow
root:$1$t4e0hufX$UH4Q5jTj93EEAODNrSaWO/:14412:0:99999:7:::
Podemos ver que el exploit ha sido creado por el grupo ‘anti-sec’ y que la web romeo.copyandpaste.info pertenece a uno sus miembros, llama la atención las primeras lineas que aparecen en su web:
~ Fuck full-disclosure
~ Fuck the security industry
~ Keep 0days private
~ Hack everyone you can and then hack some more
Lo que hace pensar que no están entre sus intenciones publicar el contenido del exploit, pero entonces … porque hacen público un ejemplo de como ejecutarlo [...] la verdad que este tema genera bastantes suposiciones enrevesadas, esperemos a ver en que acaba todo esto, yo personalmente no me atrevo a decantarme por nada y me espero cualquier cosa.
En el dia de ayer apareció en la página de Milw0rm un mensage firmado por /stroke en la que llegaba a decir como que la falta de tiempo le llevaba a abandonar el proyecto. Creo que todos pensabamos que iba a ser un parón temporal, que acabaría por reconducir milw0rm hacia quizás una herramienta más colaborativa, con más personas trabajando, o que quizás se hiciera cargo otra gente … o quien sabe … , pero nadie creo que se imaginó que hoy mismo, ahora mismo, en poco más de 24 horas, iba a dejar de existir.
Twitter