SSH примамките (honeypots), които се използват широко в киберотбраната, може да пропускат по-голямата част от реалната активност на атакуващите след влизане в системата, показва ново изследване, което оспорва дългогодишни предположения в технологиите за измама.

Неотдавнашно проучване, озаглавено „Ghost Without Shell: Measuring Non-Interactive SSH Attacks on Honeypots“ от изследователи от Чешкия технически университет, разкрива, че повечето атакуващи не взаимодействат с SSH системите чрез традиционни сесии с обвивка (shell).

Вместо това те разчитат на автоматизирани, неинтерактивни команди, които се изпълняват мигновено и прекъсват връзката, оставяйки много примамки слепи за критично поведение при атака.

Изследователите са разположили единадесет SSH примамки с високо ниво на взаимодействие в облачна инфраструктура за 15 дни, улавяйки 177 622 удостоверени сесии. Техните констатации са поразителни: 99,23% от сесиите са били неинтерактивни, докато само 0,10% са включвали интерактивен достъп до обвивката. Опитите за трансфер на файлове представляват едва 0,67%.

Тези резултати бяха независимо валидирани с помощта на голям набор от данни от мрежата за примамки CZ.NIC Cowrie, потвърждавайки същия модел в голям мащаб.

Това разкритие противоречи на основно предположение при проектирането на SSH примамки, че атакуващите влизат и ръчно изпълняват команди в рамките на интерактивна обвивка. Много модерни примамки, включително тези, задвижвани от големи езикови модели (LLM), са създадени специално за симулиране на реалистични среди с обвивка и измерват успеха въз основа на това колко дълго атакуващите остават свързани или колко команди издават.

Проучването обаче показва, че подобни показатели стават все по-нерелевантни. В повечето случаи атакуващите се удостоверяват, изпълняват една команда, използвайки режима exec на SSH, и прекъсват връзката за по-малко от секунда. Тези команди обикновено са автоматизирани и предназначени за разузнаване или проверка, а не за продължително взаимодействие. Наблюдаваните често срещани команди включват заявки за профилиране на системата като uname, whoami, uptime и nproc.

Изследователите идентифицираха и сондажни команди за проверка, предназначени да определят дали дадена цел е реална система или примамка. Атакуващите са използвали base64 декодиране или аритметични операции като echo $((7*6)), за да проверят дали системата връща точни резултати. Тези тестове са особено ефективни срещу базирани на LLM примамки, които могат да генерират правдоподобни, но неправилни резултати.

Изводите за изследванията и защитата в областта на киберсигурността са значителни. Honeypots, които се фокусират единствено върху интерактивни сесии, могат да уловят само малка част от действителното поведение на атакуващите, което води до изкривени анализи и неефективни стратегии за откриване.