TECHBOARD #6: SSHole otevírá uzamčené účty bez hesla, Binance odhaluje průběh miliardové krádeže

Real world hacks

Na začátku multimiliardového útoku na Binance byl falešný pracovní pohovor. Podle zveřejněné časové osy útoku si útočníci už v červnu vyhlédli DevOps inženýra, který si při instalaci AI nástroje stáhl podvržený balíček Homebrew. Bezpečnostní tým infekci odhalil, zařízení vyměnil a přihlašovací údaje změnil. Útočníci však získali informace o jeho pracovní pozici a vazbách na další členy týmu. V září následoval falešný pracovní pohovor s dalším vývojářem. Útočníci vystupovali jako zástupci fiktivní firmy a přesvědčili jej, aby si stáhl programátorský úkol obsahující malware. Ten nahradil legitimní součást nástroje pyenv škodlivým kódem a unikl detekci na endpointu. Prostřednictvím kompromitovaného zařízení a interního AI nástroje následně získali přístup k dalším inženýrům včetně účtu s oprávněním nasazovat kontejnery.

29. října útočníci nasadili škodlivý kontejner a získali přístup k interní službě podepisující transakce. Pomocí mechanismu Ethereum EIP-7702 delegovali část oprávnění jedné z kryptopeněženek na vlastní smart kontrakt. Ani pozastavení výběrů proto nedokázalo okamžitě zastavit odliv kryptoměn. Neoprávněné autorizace existovaly přímo na blockchainu a jejich zrušení komplikoval také systém vícestranného podepisování MPC. Binance dokázala zmrazit přibližně 2,85 miliardy dolarů, další prostředky však odcházely ještě několik hodin po odhalení útoku.

České kryptoburze Coinmate unikly osobní údaje 123 200 zákazníků. Útočník 30. října pronikl do části interních systémů. Podle zveřejněných informací o incidentu neunikla hesla ani prostředky klientů. Získané údaje ale s největší pravděpodobností poslouží útočníkům k cílenému phishingu a podvodnému kontaktování uživatelů.

Svět zranitelností

OpenSSH umožňuje přihlásit se k účtům s jakýmkoli heslem delším než 256 znaků. Podle technické analýzy SSHole zasahuje zranitelnost CVE-2026-123158 specifické konfigurace Linuxu používající knihovnu musl bez PAM. Riziková jsou zejména některá nasazení Alpine Linuxu, OpenWrt nebo kontejnerová prostředí. Mechanismus vznikl souhrou změn zavedených během několika desetiletí. Unixové systémy používají znak * v databázi hesel k označení účtů, ke kterým se nelze přihlásit heslem. Knihovna musl však od roku 2012 vrací stejný znak při chybě funkce crypt(). Ta při zpracování hesla delšího než 256 znaků odmítne výpočet. OpenSSH následně za určitých podmínek porovná dva identické znaky a autentizaci nesprávně vyhodnotí jako úspěšnou.

K výslednému řetězci přispěla také starší oprava OpenSSH. Nejde o univerzální prolomení SSH. Zranitelná konfigurace musí používat musl bez PAM, povolovat přihlašování heslem, obsahovat účet označený * i další účet s platným hashem. V oficiálních cloudových obrazech Alpine může mít dotčený účet také přístup k bezheslovému doas, čímž se dopad rozšiřuje až na root. OpenSSH vydal opravu ve verzi 10.6p2 a při vyšetřování incidentů lze v autentizačních záznamech hledat úspěšná přihlášení pomocí hesla k účtům, které měly být uzamčené.

Microsoft Paint obsahoval zranitelnost umožňující vzdálené spuštění kódu. Chyba CVE-2026-83844 má hodnocení CVSS 8,1. Microsoft popisuje možnost útoku prostřednictvím speciálně připraveného síťového paketu, nezveřejnil však dostatek technických podrobností k vysvětlení zasažené služby. Oprava je dostupná přes Microsoft Store, nikoli prostřednictvím standardního Windows Update. Správci by proto měli samostatně ověřit verzi aplikace Paint.

Tipy na nástroje

TrustedHive ukazuje možnost zneužít privilegovanou službu TrustedInstaller k neoprávněnému zápisu souborů. Výzkumný Proof of Concept pro Windows 11 kombinuje rozhraní COM Component Based Servicing a přesměrování souborových cest pomocí junctions. Pro red teamery jde o zajímavou techniku lokální eskalace oprávnění. Úspěšný zápis souboru však automaticky neznamená získání práv SYSTEM.

CITADELO news

Dokážete rozpoznat moderní phishing dříve, než kliknete na škodlivý odkaz? V novém interaktivním kvízu Citadelo si můžete ověřit své reakce na podvodné zprávy a situace z každodenního pracovního prostředí.

Platební karta může fungovat i po uplynutí doby platnosti. V novém článku o útoku Zombie Card představujeme výzkum rozdílů mezi datem platnosti uloženým na kartě a údaji, které kontrolují platební terminály.

Víte, co by útočník dokázal po kompromitaci jediného zařízení?

Red teaming prověří reálné útočné cesty napříč technologiemi, lidmi a procesy a ukáže, zda je vaše organizace dokáže včas odhalit a zastavit.