Junior Hacker Used Tailscale and OpenSSH to Keep Access After His C2 Went Offline
Ein junger Hacker nutzte Tailscale und OpenSSH, um nach dem Ausfall seines C2-Servers weiterhin Zugriff auf ein kleines französisches Automobilunternehmen zu haben. Er stahl Bank- und E-Mail-Zugangsdaten. Unternehmen sollten ihre Systeme regelmäßig auf unbekannte Remote-Zugriffstools überprüfen und diese umgehend entfernen.
Ein französischsprachiger Angreifer drang in ein kleines französisches Automobilunternehmen ein, installierte einen Keylogger und stahl Bank- und E-Mail-Zugangsdaten. Bevor sein Command-and-Control-Server offline ging, installierte er OpenSSH und Tailscale auf einem Opferrechner. Dies ermöglichte ihm, den Zugriff aufrechtzuerhalten, selbst nachdem sein ursprünglicher C2-Server nicht mehr verfügbar war.
Kleine französische Automobilunternehmen, die möglicherweise ähnliche Schwachstellen aufweisen. Organisationen, die OpenSSH und Tailscale in ihrer Umgebung nutzen, sollten die Nutzung auf ungewöhnliche Installationen überprüfen.
Dieser Vorfall zeigt, wie Angreifer durch die Installation legitimer Tools wie OpenSSH und Tailscale eine persistente Verbindung aufrechterhalten können, selbst wenn ihre primären C2-Infrastrukturen kompromittiert oder offline sind. Dies erschwert die Erkennung und Entfernung von Bedrohungen erheblich und verlängert die Verweildauer des Angreifers im Netzwerk.
Der Angreifer behält dauerhaften Zugriff auf das kompromittierte System, was zu anhaltendem Datendiebstahl (Bank- und E-Mail-Zugangsdaten) und potenziell weiteren lateralen Bewegungen innerhalb des Netzwerks führen kann, ohne dass die Organisation dies bemerkt.
Überprüfen Sie die Installationen von OpenSSH und Tailscale auf allen Endpunkten auf unautorisierte oder ungewöhnliche Instanzen. Implementieren Sie strenge Überwachungs- und Alarmierungsmechanismen für die Installation neuer Software und die Erstellung neuer Netzwerkverbindungen, insbesondere von Peer-to-Peer-VPNs.
- ▸Überprüfen Sie Systemprotokolle und installierte Software auf allen Endpunkten auf unautorisierte Installationen von OpenSSH oder Tailscale.
- ▸Überwachen Sie den Netzwerkverkehr auf ungewöhnliche ausgehende Verbindungen, insbesondere zu Peer-to-Peer-VPN-Diensten wie Tailscale, die nicht von der Organisation autorisiert sind.
- ▸Führen Sie eine Bestandsaufnahme aller autorisierten OpenSSH- und Tailscale-Installationen durch und stellen Sie sicher, dass alle anderen Instanzen als nicht autorisiert gekennzeichnet und untersucht werden.
| Taktik | Technik | Konfidenz | Beleg |
|---|---|---|---|
| Persistence | T1098 Account Manipulation | Low | not specified in the article |
| Persistence | T1572 Protocol Tunneling | High | he installed OpenSSH and Tailscale on a victim's machine |
| Credential Access | T1056.001 Input Capture: Keylogging | High | planted a keylogger, and stole banking and email credentials |
| Command and Control | T1071.001 Application Layer Protocol: Web Protocols | Low | Before his command-and-control server went dark |
| Command and Control | T1572 Protocol Tunneling | High | he installed OpenSSH and Tailscale on a victim's machine |
- Die genaue Methode des initialen Zugriffs wird nicht spezifiziert.
- Es wird nicht spezifiziert, welche spezifischen Schwachstellen ausgenutzt wurden.
- Die genaue Dauer des Zugriffs vor der Entdeckung wird nicht genannt.
- Es wird nicht spezifiziert, welche spezifischen Bank- oder E-Mail-Dienste betroffen waren.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
- Initial Access möglich?Möglich
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Unklar
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Können wir Reconnaissance detektieren?
- Können wir Resource Development detektieren?