Linux-Server über OpenSSH-Backdoors mit 21 verschiedenen Malware Familien infiziert

Der Startpunkt für die umfangreichen Untersuchungen der ESET-Sicherheitsforscher war der von ESET so benannte Linux-Malware-Angriff Windigo, im Zuge dessen über ein OpenSSH Backdoor der Zugangsdaten stehlende Trojaner Ebury 2013 und 2014 gut 25.000 Server kompromittierte. Von der Signatur dieser Schwachstelle ausgehend suchten sie nach weiteren Auffälligkeiten, die auf eine Linux-Malware schließen lassen. 

Der über OpenSSH Backdoors in den betroffenen Linux-Servern hinterlegte Schadcode ermöglicht im Allgemeinen einen Remotezugriff auf diese Systeme. Hacker, oft professionelle APT-Gruppen, nutzen diese Backdoors um Login-Daten und Schlüssel abzugreifen. Dabei kamen verschiedene Methoden zum Einsatz: Einige Trojaner loggen die Passworte, die vom User eingegeben werden einfach mit. Diese Daten müssen natürlich auf irgendeinem Weg zum Angreifer gelangen, um für diesen von Nutzen zu sein. Eine Möglichkeit besteht darin, die Zugangsdaten in eine lokale Datei zu kopieren, die dann von den Hackern vom betroffenen Rechner kopiert wird. Diese Methode ist der einfachste Weg zu den gestohlenen Daten zu kommen und wird daher bei fast allen gefundenen Malware-Samples angewandt. Neun der 21 Malware-Familien senden die Login-Daten zusätzlich über das Netzwerk. In seltenen Fällen werden ausgelesene Log-Files über eine E-Mail verschickt, die dabei natürlich hardcodiert im binären Code zu finden sind. 

Wie können Sie überprüfen, ob auch Ihre Linux-Server von einer der nach diversen Planeten und Rassen aus dem Star Wars Universum benannten Malware kompromittiert wurden? Der detaillierte Report von ESET (siehe den nachstehenden Link) enthält Hinweise, wie Ihre IT-Techniker die Integrität der in Ihrem System verwendeten OpenSSH-Komponenten überprüfen können.