US-CERT warnt vor Angriffen auf Linux-Server

Cracker verwenden neues Rootkit

Das US-amerikanische Computer Emergency Response Team (US-CERT) warnt vor aktuellen Angriffen auf Linux-Server, bei denen ein neues Rootkit installiert wird. Damit schließt sich die Organisation der Warnung des Computernotfallteams des Deutschen Forschungsnetzes (DFN-CERT) an, die bereits Anfang August 2008 herausgegeben wurde.

Wie schon das DFN-CERT warnt nun das US-CERT vor Angriffen auf Linux-Server, bei denen das Rootkit Phalanx2 installiert wird. Ausgangspunkt für die Attacken sind laut US-CERT gestohlene SSH-Schlüssel, um Zugriff auf Systeme zu erlangen. Über Kernel-Exploits erlangen die Angreifer dann Root-Rechte und installieren die neue Version des Phalanx-Rootkits.

Phalanx2 ist dann laut Sicherheitswarnung wiederum so konfiguriert, dass es von dem kompromittierten System SSH-Schlüssel stiehlt. Diese werden dann genutzt, um auf die entsprechenden Server zu gelangen.

Das US-CERT gibt in seiner Meldung Hinweise, wie das Rootkit identifiziert werden kann. Unter anderem soll der Befehl "ls" das Verzeichnis /etc/khubd.p2/ nicht anzeigen, es lässt sich aber mit "cd /etc/khubd.p2" aufrufen. Dies gilt auch für Verzeichnisse mit dem Namen "khubd.p2" an anderen Stellen im Dateisystem. Außerdem kann /dev/shm/ Dateien des Angreifers enthalten.

Administratoren sollen daher ihre Systeme, auf denen SSH-Schlüssel als Teil automatisierter Prozesse verwendet werden, überprüfen, rät das Notfallteam. Wenn ein kompromittiertes System entdeckt wird, sollen Schlüsselauthentifizierungen möglichst deaktiviert und stattdessen Passwörter verwendet werden. Außerdem rät das US-CERT, sämtliche SSH-Schlüssel auf diesen Systemen zu überprüfen.

Weitere Informationen will die Organisation veröffentlichen, sobald diese verfügbar sind.