Червь Panchan крадет SSH-ключи и использует Discord для управления

Panchan распространяется через украденные SSH-ключи и использует Discord для управления

Червь Panchan, написанный на Golang, распространяется в интернете с 2022 года. Вредоносная программа относится к типу peer-to-peer ботнетов и нацелена на кражу SSH-ключей для дальнейшего распространения. Эксперты SANS ISC обнаружили экземпляр червя в своей DShield honeypot. Panchan использует руткит для сохранения доступа к зараженным системам. Его простота и эффективность позволяют ему оставаться актуальной угрозой.

Panchan крадет SSH-ключи и использует Discord как C2-сервер

Вредоносная программа использует украденные SSH-ключи для получения доступа к другим системам. После компрометации сервера Panchan устанавливает соединение с командно-контрольным сервером (C2). Для этой цели червь использует каналы в Discord. Анализ сетевого трафика с помощью FakeNet-NG и Wireshark показал, что вредоносная программа обращается к Discord. Это позволяет злоумышленникам управлять зараженными машинами и получать украденные данные. Panchan также занимается майнингом криптовалют.

Угроза затрагивает организации с интернет-ориентированными серверами

Червь Panchan представляет опасность для любых организаций, имеющих серверы, доступные из интернета. Особую уязвимость демонстрируют незащищенные и не обновленные системы. Открытый доступ по SSH к публичным сетям является основным вектором атаки. Кража SSH-ключей позволяет вредоносной программе перемещаться по сети и получать доступ к новым хостам. Угроза актуальна для систем, где не применяются современные методы аутентификации и контроля доступа.

Защитите серверы от червя Panchan

Для защиты от червя Panchan рекомендуется внедрить строгие меры безопасности. Необходимо настроить egress и ingress фильтрацию трафика, использовать списки контроля доступа (ACL) и внедрить непрерывный мониторинг. Отключите аутентификацию по паролю для SSH, используя вместо нее пары публичного и приватного ключей или многофакторную аутентификацию. Включите опцию HashKnownHosts в конфигурации SSH для защиты файла known_hosts. Рассмотрите использование HashiCorp Vault для подписи SSH-сертификатов с коротким сроком действия. Это минимизирует риски, связанные с кражей и повторным использованием ключей. Настройте Fail2Ban для блокировки IP-адресов после нескольких неудачных попыток входа. Разверните межсетевые экраны и системы обнаружения/предотвращения вторжений на границе сети. Используйте SIEM-системы для централизованного сбора и анализа логов. Отказ в доступе по умолчанию и разрешение только для доверенных соединений являются ключевыми стратегиями защиты.