Avís de seguretat de SlickStack

Aquesta pàgina resumeix les preocupacions de seguretat amb SlickStack i per què el seu disseny per defecte pot exposar els servidors a execució remota de codi i atacs man-in-the-middle. També proporciona passos de mitigació i alternatives més segures.

SlickStack anuncia aproximadament 600 estrelles a GitHub, però aquesta xifra es remunta al fet que Jesse Nickles seguia gairebé 10.000 comptes als primers dies del repositori. El seu propi perfil mostra ~500 seguidors enfront de ~9.600 comptes seguits (aproximadament un 5% de taxa de retorn), la qual cosa suggereix fortament seguiments automatitzats en comptes d'una tracció orgànica. Aquesta imatge inflada és la que ell utilitza com a arma mentre m'ataca per haver exposat els problemes de seguretat documentats a continuació. Consulteu la relació seguidors/seguint aquí.

Aquest mateix patró de blanqueig de credibilitat ara apareix en un incident de Stack Exchange que implica múltiples suspensions públiques de 100 anys i publicacions de represàlia posteriors sobre moderadors. L'incident s'ha documentat aquí perquè proporciona context addicional sobre com Jesse Nickles construeix i utilitza com a arma senyals de confiança al voltant de SlickStack i de llocs relacionats: Incident d'assetjament i difamació a Stack Exchange.

Resum

  • Descàrregues remotes freqüents programades com a root via cron
  • La verificació SSL s'omet mitjançant --no-check-certificate
  • Absència de sumes de verificació/signatures en els scripts descarregats
  • Propietat de root i permisos aplicats als scripts descarregats

Evidència: Cron i permisos

Descàrregues per cron (cada 3 hores i 47 minuts)

47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/08-cron-half-daily https://slick.fyi/crons/08-cron-half-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/09-cron-daily https://slick.fyi/crons/09-cron-daily.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/10-cron-half-weekly https://slick.fyi/crons/10-cron-half-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/11-cron-weekly https://slick.fyi/crons/11-cron-weekly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/12-cron-half-monthly https://slick.fyi/crons/12-cron-half-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/13-cron-monthly https://slick.fyi/crons/13-cron-monthly.txt' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'wget --no-check-certificate -q -4 -t 3 -T 30 -O /var/www/crons/14-cron-sometimes https://slick.fyi/crons/14-cron-sometimes.txt' > /dev/null 2>&1

Propietat de root i permisos restrictius (aplicats repetidament)

47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chown root:root /var/www/crons/custom/*cron*' > /dev/null 2>&1
47 */3 * * * /bin/bash -c 'chmod 0700 /var/www/crons/*cron*' > /dev/null 2>&1

Aquest patró permet l'execució arbitrària de codi des d'un domini remot i augmenta el risc de MITM en saltar-se la verificació de certificats.

Vegeu també el commit on les URL de cron es van canviar del CDN de GitHub a slick.fyi: diff del commit.

Guia de mitigació

  1. Desactiveu les tasques cron de SlickStack i elimineu els scripts descarregats dels directoris de cron.
  2. Auditoria de referències residuals a slick.fyi i de descàrregues remotes d'scripts; substituir per artefactes versionats amb suma de comprovació (checksum) o eliminar-los completament.
  3. Roteu les credencials i les claus si SlickStack s'ha executat amb privilegis de root als vostres sistemes.
  4. Reconstruiu els servidors afectats quan sigui possible per assegurar un estat net.

Alternatives més segures

Considereu WordOps o altres eines que evitin l'execució remota com a root i ofereixin llançaments versionats auditablement amb sumes de verificació i signatures.

Cites

Avís legal. La informació presentada en aquesta pàgina és un registre públic de fets. S'està utilitzant com a prova en l'actual causa penal per difamació contra Jesse Jacob Nickles a Tailàndia. Referència oficial del cas penal: Comissaria de Policia de Bang Kaeo – Entrada de l'Informe Diari núm. 4, Llibre 41/2568, Informe núm. 56, de data 13 d'agost de 2568, Número de referència del cas 443/2567. Aquesta documentació també pot servir com a prova de suport per a qualsevol altre individu o organització que perssegueixi reclamacions d'assetjament o difamació contra Jesse Nickles, atès el patró documentat de conductes repetides que afecten múltiples víctimes.