Alpine Linux SSH açığı sonrası GT10'un Python 3 kurma girişimi tespit edildi

Alpine Linux'taki SSH kimlik doğrulama atlatma açığından yararlanan bir saldırgan, güvenlik şirketi GreyNoise'un gözlem sunucusuna sızdı. GT10 adıyla izlenen grubun Python 3 kurmaya çalıştığı ve TAC Agent uzaktan erişim aracını kullandığı da ortaya çıktı.

GreyNoise, 9'unda yayımladığı izleme verilerinde Güneydoğu Asya'daki bir honeypot sunucusuna GT10 olarak izlenen grubun sızdığını bildirdi. Honeypot, saldırı girişimlerini ve izinsiz erişimleri gözlemlemek için işletilen bir sunucudur. Şirket ayrıca GT10'un kullandığı sunucuya erişerek olası hedefler ve saldırı araçları hakkında ipuçları elde etti.

GreyNoise, gruptaki saldırganların Python 3 yüklü olmayan sunuculara Python 3 kurmaya çalıştığını ve saldırıda TAC Agent kullandığını açıkladı.

TAC Agent kabuk komutlarının çalıştırılmasını, sistem bilgilerinin toplanmasını ve erişimin sürdürülmesini sağlıyor. Programda Çince yorumlar bulunuyordu. GreyNoise, aracın yapay zekâ kullanılarak oluşturulmuş olabileceğini belirtti.

Previdian, kendi sensörlerinde açığı hedef alan 20 saldırı girişimi kaydetti. Saldırılarda 13 IP adresi kullanıldı ve bu adresler 9 ülkede konumlandı. Bu 20 sayı, saldırı girişimlerini ifade ediyor; başarılı şekilde ele geçirilen sunucu veya etkilenen kuruluş sayısını göstermiyor.

watchTowr, 6'sında botnet ve kripto varlıklarla ilgili faaliyetlere bağlanan bir açık istismarını gözlemlediğini bildirdi. Bu faaliyet, GreyNoise'un tespit ettiği GT10'un gözlem sunucusuna sızma olayından ayrı olarak raporlandı.

Söz konusu CVE-2026-123158 açığı, OpenSSH'nin musl ile birlikte çalıştığı ortamlarda ortaya çıkabiliyor. OpenSSH, SSH üzerinden uzaktan bağlantıları yönetiyor; açık ise parola doğrulama sürecinde görülüyor.

musl, yaygın kullanılan libc'nin yerine geçen bir Linux kütüphanesidir. PAM ise kullanıcı kimlik doğrulamasını ve hesap erişim kontrollerini yönetir.

Her Linux sunucusu bu açıktan etkilenmiyor. Sistemde PAM kullanılmaması ve SSH parola doğrulamasının etkin olması gerekiyor. Ayrıca /etc/shadow dosyasında parola alanı ‘*’ olan hesapların yanı sıra parolaları SHA256 veya SHA512 yöntemiyle özetlenmiş başka hesapların da bulunması gerekiyor.

Saldırgan, parolası ayarlanmamış bir hesaba 256 karakterden uzun bir parola giriyor. Açığın tetiklendiği nokta, OpenSSH'nin bu girdiyi özetleyip /etc/shadow dosyasındaki kayıtla karşılaştırdığı işlem.

Bu sırada musl'un parola özetleme işlevi ‘*’ hata değerini döndürüyor. OpenSSH bu değeri kayıtlı ‘*’ ile eşleşmiş olarak yorumlarsa, parolanın yanlış olması gereken bir hesabın kimlik doğrulaması geçebiliyor.

Alpine Linux, bu yapılandırmada yalnızca anahtarla oturum açan hesapların da etkilenebileceği uyarısında bulundu. Açığın koşulları oluştuğunda saldırgan, kimlik doğrulaması yapmadan yüksek ayrıcalıklı hesaplara erişebilir.

TokenPost daha önce Alpine Linux SSH açığının gerçek saldırılarda kullanıldığını ve yama uygulanması gerektiğini aktarmıştı. Yeni ortaya çıkan bilgiler, saldırı grubunun gözlem sunucusuna sızdıktan sonra Python 3 kurmaya çalıştığına ve saldırıda TAC Agent kullandığına işaret ediyor.

OpenSSH, saldırıları önlemek için düzeltilmiş bir sürüm yayımladı. Alpine Linux, OpenSSH paketinin güncellenmesinin ardından SSH hizmetinin yeniden başlatılmasını önerdi. Yalnızca paketi güncellemek, çalışan SSH daemon'una düzeltmeleri uygulamıyor. Güncelleme hemen yapılamıyorsa parola doğrulamasının kapatılması ve hizmetin yeniden başlatılması tavsiye ediliyor.