Уязвимость SSHole уже используют для выполнения команд на Linux-серверах: GreyNoise зафиксировала первый успешный взлом своего уязвимого датчика 7 ноября в 00:46 UTC, примерно через 40 часов после выпуска исправления. К 03:10 UTC 10 ноября компания насчитала 18 цепочек успешной эксплуатации. Речь о специально развёрнутых системах наблюдения за атаками, а не о 18 подтверждённых пострадавших организациях.

Ранее dok.news писал об исправлении обхода входа: слишком длинный пароль мог открыть учётную запись, для которой пароль должен быть отключён. Ошибка затрагивает определённые конфигурации OpenSSH с библиотекой musl и без механизма аутентификации PAM; она не распространяется автоматически на все Linux-системы. OpenSSH 10.6p2 закрыл этот путь 5 ноября.

Теперь журналы показывают, что происходило после входа. Атакующие изучали систему, обращались к служебным данным облачных платформ и пытались прочитать хеши паролей и SSH-ключи администратора. На датчиках также появились изменения в списках разрешённых SSH-ключей, файл TAC Agent и служба для его запуска. Это попытки сохранить доступ после первоначального обхода; по данным GreyNoise, на наблюдаемой машине агенту не удалось зарегистрироваться на сервере управления и получить задания.

Успешной эксплуатацией GreyNoise считает цепочку, в которой сервер действительно выполнил команды операционной системы. Миллионы сканирований порта SSH в той же сводке не означают миллионы взломов. Наблюдения подтверждают применение уязвимости и действия после входа, но не устанавливают общий масштаб заражений или ущерб за пределами датчиков.