Ein Rootkit verwandelt Linux-Server in Spamschleuder.
Ein Rootkit verwandelt Linux-Server in Spamschleuder. (Bild: Jörg Thoma/Golem.de)

Sicherheit Keylogger verwandelt Linux-Server in Spam-Schleuder

Unter dem Namen SSHD-Spam-Exploit ist ein Rootkit in Umlauf, das Linux-Server in Spam-Schleudern verwandelt. Zugriff verschaffen sich die Angreifer offenbar über einen Keylogger.

Anzeige

Noch sind über das Rootkit SSHD-Spam-Exploit nicht viele Details bekannt, fest steht aber, dass es sich um ein Linux-Rootkit handelt, das sich auf Servern einnistet und von dort aus Spam verbreitet. In einem Thread auf webhostingtalk.com sammeln sich Berichte über das Rootkit.

Rootkit als Bibliothek

Die Malware installiert sich als Libkeyutils.so.1.9 mit Root-Rechten. Betroffen sind bisher mutmaßlich Server, auf denen Red-Hat-basierte Linux-Systeme wie CentOS oder Cloudlinux laufen. Betroffen sind Meldungen zufolge aber auch Archlinux oder Debian. Der Aufruf rpm -qf /lib64/libkeyutils.so.1.9 wird mit der Meldung "file /lib64/libkeyutils.so.1.9 is not owned by any package" quittiert. Betroffen sind auch 32-Bit-Systeme. Dort nistet sich das Rootkit im Verzeichnis /lib ein. Außerdem kann die Locate-Datenbank Updatedb mit su -c "updatedb" && locate libkeyutils.so.1.9 befragt werden. Es gibt auch Hinweise, dass die Datei abweichende Nummerierungen trägt, etwa libkeyutils.so.1.2.

Ersten Meldungen zufolge lässt sich die Malware löschen. Mit ldconfig können die installierten Bibliotheken in ld.so.cache aktualisiert werden. Inzwischen gibt es aber Hinweise, dass die Angreifer auch nach dem Löschen der Datei Zugriff auf den Server haben. Andere Anwender haben inzwischen den SSH-Port ganz abgeschaltet oder IP-Adressen mit Iptables geblockt, die in der Rootkit-Datei eingebettet sind.

Eingebettete IP-Adressen

Eine erste Analyse des Rootkits offenbart eine IP-Adresse, die vermeintlich zu einem Server in Moskau gehörte. Die IP-Adresse lässt sich mit den Befehlen ./audit libkeyutils.so.1.9 output und strings output |grep -Eo '[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}' auslesen.

Das Rootkit spioniert auch Passwörter auf dem betroffenen System aus und überträgt SSH-Schlüssel sowie die Passwortdatei /etc/shadow an den Server über eine SSH-Verbindung. Daher der Name " SSHD-Spam-Exploit".

Verbreitung unklar

Wie sich das Rootkit verbreitet, ist noch unklar. Zunächst berichteten Anwender über lokale Angriffe mit einem Keylogger, der die Login-Daten über eine geöffnete Administrationsshell eines Client-Rechners ausliest und über den Port 53/UDP auf einen Server eines Angreifers überträgt. Inzwischen gibt es aber auch Berichte über einen Angriff aus der Ferne, etwa über eine Schwachstelle im Mailserver Exim oder eine noch nicht gepatchte Ptrace-Schwachstelle im Linux-Kernel bis Version 3.7.5. Eine Infektion über den Linux-Kernel schließen die meisten Betroffenen aber aus. Zumindest der Grad der Verbreitung deutet aber auf externe Angriffe hin.

Für Cloudlinux gibt es einen Patch, der allerdings lediglich die Bibliotheksdatei löscht.


posix 25. Feb 2013

Bei allen Systemen darf man grundsätzlich das Kernproblem nicht ausser acht lassen. Für...

.................. 24. Feb 2013

jein, zusaetzlich hosts.allow / .deny und openvpn für den "Entry" Server...

Dr.med.DenRasen 23. Feb 2013

Das zeichnet diesen Artikel in hoher Art und Weise in Sachen recherchierte Qualität aus...

Franz Hornauer 22. Feb 2013

Zustimmung. Ich habe gerade auf meinen Debian-Systemen geprüft. In dem Golem-Artikel ist...

Snarley 22. Feb 2013

Was ist denn das für eine Formulierung? updatedb ist das Programm zum erneuern der Locate...

Kommentieren



Anzeige

  1. IT-Experte für SAP-ERP-Betrieb und -Projektmanagement (m/w)
    SE Tylose GmbH & Co. KG, Wiesbaden
  2. Principal Business Analyst (m/w) Projektmanager für strategische IT-Projekte
    Vector Informatik GmbH, Stuttgart
  3. Spiele-Programmierer (m/w)
    upjers GmbH, Bamberg
  4. Referent (m/w) Testmanagement
    ING-DiBa AG, Frankfurt

 

Detailsuche


Top-Angebote
  1. NEU: Amazon Last-Minute-Angebote Tag 6: Games, Blu-ray, Technik
  2. NEU: 2 TV-Staffeln auf Blu-ray für 30 EUR
    (u. a. The Big Bang Theory, Supernatural, The Vampire Diaries, The Clone Wars)
  3. GRATIS: Kampf der Titanen HD-Film kostenlos bei Google Play
    0,00€

 

Weitere Angebote


Folgen Sie uns
       


  1. Google Cardboard

    Mit VR-Pappbrille in Street View unterwegs

  2. Story Mode

    Telltale arbeiten an Minecraft-Episodenabenteuer

  3. Deutscher Entwicklerpreis 2014

    Lords of the Fallen schafft eines von drei Triples

  4. General vor dem NSA-Ausschuss

    Der Feuerwehrmann des BND

  5. Outcast 1.1

    Technisch überarbeiteter Klassiker bei Steam und GOG

  6. Microsoft

    Webbrowserauswahl in Windows ist abgeschafft

  7. Streaming

    Netflix schließt Offline-Videos kategorisch aus

  8. KDE Applications 14.12

    Erste Frameworks-5-Ports der KDE-Anwendungen erschienen

  9. Spearfishing

    Icann meldet Einbruch in seine Server

  10. Amiibos

    Zubehör für Super Smash Bros wird rar und teuer



Haben wir etwas übersehen?

E-Mail an news@golem.de



Games-Verfilmungen: Videospiele erobern Hollywood
Games-Verfilmungen
Videospiele erobern Hollywood
  1. Adr1ft Mit Oculus Rift und UE4 ins All
  2. The Game Awards 2014 Dragon Age ist bestes Spiel, Miyamoto zeigt neues Zelda
  3. Space Engineers Minecraft im Weltraum

Nexus 6 gegen Moto X: Das Nexus ist tot
Nexus 6 gegen Moto X
Das Nexus ist tot
  1. Teardown Nexus 6 kommt mit wenig Kleber aus
  2. Google Nexus 6 kommt doch erst viel später
  3. Google Nexus 6 erscheint nächste Woche - doch nicht

O2 Car Connection im Test: Der Spion unterm Lenkrad
O2 Car Connection im Test
Der Spion unterm Lenkrad
  1. Urteil Finger weg vom Handy beim Autofahren
  2. Urban Windshield Jaguar bringt Videospiel-Feeling ins Auto
  3. Tweak Carplay ohne passendes Auto verwenden

    •  / 
    Zum Artikel