TECHBOARD #6: SSHole otvára zamknuté účty bez hesla, Binance odhaľuje priebeh miliardovej krádeže

Real world hacks

Na začiatku multimiliardového útoku na Binance bol falošný pracovný pohovor. Podľa zverejnenej časovej osi útoku si útočníci už v júni vyhliadli DevOps inžiniera, ktorý si pri inštalácii AI nástroja stiahol podvrhnutý balík Homebrew. Bezpečnostný tím infekciu odhalil, zariadenie vymenil a prihlasovacie údaje zmenil. Útočníci však získali informácie o jeho pracovnej role a väzbách na ďalších členov tímu. V septembri nasledoval falošný pracovný pohovor s ďalším vývojárom. Útočníci vystupovali ako zástupcovia fiktívnej firmy a presvedčili ho, aby si stiahol programátorské zadanie obsahujúce malvér. Ten nahradil legitímnu súčasť nástroja pyenv škodlivým kódom a unikol detekcii na endpointe. Cez kompromitované zariadenie a interný AI nástroj následne získali prístup k ďalším inžinierom vrátane účtu s oprávnením nasadzovať kontajnery.

29. októbra útočníci nasadili škodlivý kontajner a získali prístup k internej službe podpisujúcej transakcie. Pomocou mechanizmu Ethereum EIP-7702 delegovali časť oprávnení jednej z kryptopeňaženiek na vlastný smart kontrakt. Ani pozastavenie výberov preto nedokázalo okamžite zastaviť odlev kryptomien. Neoprávnené autorizácie existovali priamo na blockchaine a ich zrušenie komplikoval aj systém viacstranného podpisovania MPC. Binance dokázala zmraziť približne 2,85 miliardy dolárov, ďalšie prostriedky však odchádzali ešte niekoľko hodín po odhalení útoku.

Českej kryptoburze Coinmate unikli osobné údaje 123 200 zákazníkov. Útočník 30. októbra prenikol do časti interných systémov. Podľa zverejnených informácií o incidente neunikli heslá ani prostriedky klientov. Získané údaje ale s najväčšou pravdepodobnosťou poslúžia útočníkom na cielený phishing a podvodné kontaktovanie používateľov.

Svet zraniteľností

OpenSSH umožňuje prihlásiť sa do účtov s akýmkoľvek heslom nad 256 znakov. Podľa technickej analýzy SSHole zraniteľnosť CVE-2026-123158 zasahuje špecifické konfigurácie Linuxu používajúce knižnicu musl bez PAM. Rizikové sú najmä niektoré nasadenia Alpine Linuxu, OpenWrt či kontajnerové prostredia. Mechanizmus vznikol súhrou zmien zavedených počas niekoľkých desaťročí. Unixové systémy používajú znak * v databáze hesiel na označenie účtov, do ktorých sa nemožno prihlásiť heslom. Knižnica musl však od roku 2012 vracia rovnaký znak pri chybe funkcie crypt(). Tá pri spracovaní hesla dlhšieho než 256 znakov odmietne výpočet. OpenSSH následne za určitých podmienok porovná dva identické znaky a autentifikáciu nesprávne vyhodnotí ako úspešnú.

K výslednému reťazcu prispela aj staršia oprava OpenSSH. Nejde o univerzálne prelomenie SSH. Zraniteľná konfigurácia musí používať musl bez PAM, povoľovať prihlasovanie heslom, obsahovať účet označený * aj ďalší účet s platným hashom. Na oficiálnych cloudových obrazoch Alpine môže byť dotknutý účet vybavený aj bezheslovým doas, čím sa dopad rozširuje až na root. OpenSSH vydal opravu vo verzii 10.6p2 a pri vyšetrovaní incidentov možno v autentifikačných logoch hľadať úspešné heslové prihlásenia do účtov, ktoré mali byť zamknuté.

Microsoft Paint obsahoval zraniteľnosť umožňujúcu vzdialené spustenie kódu. Chyba CVE-2026-83844 má hodnotenie CVSS 8,1. Microsoft opisuje možnosť útoku cez špeciálne pripravený sieťový paket, no nezverejnil dostatok technických detailov na vysvetlenie zasiahnutej služby. Oprava je dostupná cez Microsoft Store, nie cez štandardný Windows Update. Správcovia by preto mali samostatne overiť verziu aplikácie Paint.

Tipy na nástroje

TrustedHive ukazuje možnosť zneužiť privilegovanú službu TrustedInstaller na neoprávnený zápis súborov. Výskumný Proof-of-Concept pre Windows 11 kombinuje COM rozhranie Component Based Servicing a presmerovanie súborových ciest pomocou junctions. Pre red teamerov ide o zaujímavú techniku lokálnej eskalácie oprávnení. Úspešný zápis súboru však automaticky neznamená získanie práv SYSTEM.

CITADELO news

Dokážete rozpoznať moderný phishing skôr, než kliknete na škodlivý odkaz? V novom interaktívnom kvíze Citadelo si môžete preveriť svoje reakcie na podvodné správy a situácie z každodenného pracovného prostredia.

Platobná karta môže fungovať aj po dátume exspirácie. V novom článku o útoku Zombie Card útoku predstavujeme výskum rozdielov medzi dátumom platnosti uloženým na karte a údajmi, ktoré kontrolujú platobné terminály.

Viete, čo by útočník dokázal po kompromitovaní jediného zariadenia?

Red teaming preverí reálne útokové cesty naprieč technológiami, ľuďmi a procesmi a ukáže, či ich vaša organizácia dokáže včas odhaliť a zastaviť.