Ein Rootkit auf Debian-Webservern liefert infizierte Webseiten aus.
Ein Rootkit auf Debian-Webservern liefert infizierte Webseiten aus. (Bild: Kaspersky Labs)

Linux-Webserver Rootkit liefert bösartige Iframes aus

Ein kürzlich entdecktes Rootkit klinkt sich als Kernel-Modul in Linux-Systeme ein und legt Schadcode in Form von Iframes in ausgelieferten Webseiten ab. Auf dem Rechner eines Opfers sucht der Schadcode nach Schwachstellen und infiziert ihn.

Anzeige

Ein als Kernel-Modul umgesetztes Rootkit ist auf einem Nginx-Webserver entdeckt worden. Dort nutzt es Speicheradressen des Linux-Kernels (Symbols), um sich in das System einzuklinken (Hooking). Es bettet Iframes in die ausgelieferten Webseiten des Nginx-Servers ein. Diese enthalten wiederum eine präparierte Webseite, die den Rechner eines Opfers nach Schwachstellen durchsucht und dann infiziert.

Sowohl Kaspersky Labs als auch das Sicherheitsunternehmen Crowdstrike haben das Rootkit analysiert. Es wurde speziell für die Kernel-Version 2.6.32 in der 64-Bit-Variante erstellt. Diese Kernel-Version wird in Debian 6 alias Squeeze eingesetzt. Auf infizierten Servern wird es unter dem Namen module_init.ko im Verzeichnis /lib/modules/2.6.32-5-amd64/kernel/sound abgelegt.

Selbsttarnung

Das Rootkit-Modul analysiert die vom Linux-Kernel bereitgestellten Symbole und liest daraus die Speicheradressen etlicher Kernel-Funktionen und -Variablen aus und legt sie wiederum im Arbeitsspeicher ab. Die zuvor bei der Sammlung der Speicheradressen erstellten temporären Dateien werden gelöscht. Um sich zu tarnen, nutzt das Rootkit-Modul diverse Kernel-Funktionen. Um einen Neustart zu überstehen, trägt es sich in die Konfigurationsdatei /etc/rc.local ein.

Die Iframes werden direkt über die Kernel-Funktion tcp_sendmsg in TCP-Pakete injiziert. Selbst Fehlerseiten des Nginx-Servers enthalten dann iFrames, wie die ursprünglichen Entdecker feststellten und in der Mailingliste Seclists.org mitteilten. Den Inhalt der Iframes holt sich das Rootkit von einem C&C-Server ab, mit dem es sich mittels eines verschlüsselten Passworts verbindet. Kasperskys Experten konnten sich zwar nicht mit dem Server verbinden, er sei jedoch weiterhin aktiv und enthalte weitere Unix-basierte Werkzeuge, etwa zur Reinigung von Protokolldateien.

Noch unausgereift

Das Rootkit sei wohl noch in der experimentellen Phase, schreiben die Experten. Es ist noch mit Debugging-Informationen versehen und deshalb etwa 500 KByte groß. Es wurde auch deshalb entdeckt, weil die HTTP-Antworten nicht ordentlich geparst werden. Die Experten bei Crowdstrike kommen zu dem Schluss, dass das Rootkit eine Auftragsarbeit eines Entwicklers ist, der kaum Erfahrungen mit dem Linux-Kernel hat. Es sei später ergänzt und modifiziert worden. Außerdem müsste der Angreifer Root-Rechte für einen infizierten Debian-Server haben, denn der Code enthalte keine Hinweise auf ein Exploit, um als User Root-Rechte zu erlangen, heißt es im Crowdstrike-Blog.

Über die Verbreitung des Rootkits ist bislang nichts bekannt. Kaspersky Labs hat ihm den Namen Rootkit.Linux.Snakso.a gegeben und gibt an, ihn mit seiner Software entdecken zu können.


Baron Münchhausen. 29. Nov 2012

Bitte korrigieren, dann gibt es mehr Aufrufe

a user 21. Nov 2012

nun ja, das kommt darauf an wer von der manipulation nichts wissen soll. durch die...

a user 21. Nov 2012

steht doch alles da. bisher ein einziger server. die erste analyse läßt vermuten, dass es...

Anonymer Nutzer 21. Nov 2012

Hatte Golem auch Squeezy? Das ist ein weiterer Hinweis, dass heise und Golem voneinander...

Kommentieren



Anzeige

  1. Fachreferent (m/w) SAP Key-User-Accounting
    DEKRA SE, Stuttgart
  2. Customer Service Performance Analyst (m/w)
    Home Shopping Europe GmbH, Ismaning Raum München
  3. Web-Entwickler (m/w)
    AL-KO KOBER SE, Kötz
  4. Spezialist (m/w) Technischer Support
    PTV Planung Transport Verkehr AG, Karlsruhe

 

Detailsuche


Top-Angebote
  1. NEU: Battlefield 4 (PC Origin Code)
    9,99€
  2. TIPP: Blu-ray-Boxsets zum Aktionspreis
    (u. a. Transformers Trilogie 13,97€, Der Pate 28,97€, Star Trek Collection 59,97€, Die nackte...
  3. TIPP: 3 Blu-rays für 20 EUR
    (u. a. World War Z, Gesetz der Rache, Star Trek, True Grit, Parker)

 

Weitere Angebote


Folgen Sie uns
       


  1. Lizenzklage

    "VMware wollte sich nicht an die GPL halten"

  2. Kabelnetzbetreiber

    Routerwahl soll zu Bruch des Fernmeldegeheimnisses führen

  3. Ineffiziente Leuchtmittel

    Erweitertes Lampenverbot tritt in Kraft

  4. Mini-PCs unter Linux

    Installation schwer gemacht

  5. Game Development

    Golem.de lädt zum Tech Summit ein

  6. Khronos Group

    Grafik-API Vulkan erscheint für die Playstation 4

  7. Mobilfunk

    Gericht untersagt verändertes SIM-Karten-Pfand

  8. League of Legends & Co

    Moba-Spieler investieren 24,92 US-Dollar in ihr Aussehen

  9. Stellenanzeige

    Golem.de sucht Redakteur/-in für IT-Sicherheit

  10. Studie

    Spracherkennungs-Apps am Steuer erhöhen die Unfallgefahr



Haben wir etwas übersehen?

E-Mail an news@golem.de



HTC One (M9) im Test: Endlich eine gute Kamera
HTC One (M9) im Test
Endlich eine gute Kamera
  1. Lollipop Erstes HTC-One-Smartphone erhält kein Android 5.1

Mini-Business-Rechner im Test: Erweiterbar, sparsam und trotzdem schön klein
Mini-Business-Rechner im Test
Erweiterbar, sparsam und trotzdem schön klein
  1. Shuttle DS57U Passiver Mini-PC mit Broadwell und zwei seriellen Com-Ports
  2. Broadwell-Mini-PC Gigabytes Brix ist noch kompakter als Intels NUC
  3. Mouse Box Ein Mini-PC in der Maus

Jugendliche und soziale Netzwerke: Geh sterben, Facebook!
Jugendliche und soziale Netzwerke
Geh sterben, Facebook!
  1. Nuclide Facebook stellt quelloffene IDE vor
  2. 360-Grad-Videos und neuer Messenger Facebook zeigt seinen Nutzern Rundumvideos
  3. Urheberrecht Bild-Fotograf zieht Abmahnung zum Facebook-Button zurück

  1. Re: Portable Browser f. Facebook only?

    Zehnfusskrebs | 15:11

  2. Re: Yet Another Streaming Service

    Dwalinn | 15:11

  3. Re: Der Preis...

    Narancs | 15:10

  4. Re: Alles kompletter Bullshit

    dsfone | 15:10

  5. Re: Zum Glück bin ich nicht der Durchschnitt

    theonlyone | 15:10


  1. 15:02

  2. 13:23

  3. 13:13

  4. 12:00

  5. 11:53

  6. 10:41

  7. 10:35

  8. 10:21


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel