Robak Panchan z 2022 roku nadal kradnie klucze SSH i kopie kryptowaluty

Honeypot DShield, prowadzony przez SANS Internet Storm Center, przechwycił robaka Panchan, znanego od 2022 roku. Program kopie kryptowaluty, kradnie klucze SSH, żeby przenosić się na kolejne systemy, i utrzymuje dostęp do zainfekowanych maszyn za pomocą rootkita. Panchan jest napisany w języku Go i działa jako botnet peer-to-peer. Według autora analizy robak wciąż się rozprzestrzenia, bo wiele systemów w internecie pozostaje niezabezpieczonych i bez aktualizacji.

Kogo dotyczy

Materiał nie wskazuje konkretnego produktu ani wersji. Zagrożone są niezaktualizowane systemy dostępne z internetu, do których można się zalogować przez SSH. Robaka rozpoznaje dziś wielu dostawców oprogramowania zabezpieczającego.

Co zrobić

Autor analizy podaje zabezpieczenia, które zatrzymują Panchana: filtrowanie ruchu wychodzącego i przychodzącego, listy kontroli dostępu, stały monitoring oraz logowanie bez haseł. Ślady infekcji widać w syslogu: eskalację uprawnień, instalację i usuwanie oprogramowania oraz połączenia z portem SSH. Przy większej liczbie serwerów analiza zaleca SIEM, a cały ruch między siecią zaufaną i niezaufaną ma przechodzić przez co najmniej jedną zaporę.