Ein Rootkit verwandelt Linux-Server in Spamschleuder.
Ein Rootkit verwandelt Linux-Server in Spamschleuder. (Bild: Jörg Thoma/Golem.de)

Sicherheit Keylogger verwandelt Linux-Server in Spam-Schleuder

Unter dem Namen SSHD-Spam-Exploit ist ein Rootkit in Umlauf, das Linux-Server in Spam-Schleudern verwandelt. Zugriff verschaffen sich die Angreifer offenbar über einen Keylogger.

Anzeige

Noch sind über das Rootkit SSHD-Spam-Exploit nicht viele Details bekannt, fest steht aber, dass es sich um ein Linux-Rootkit handelt, das sich auf Servern einnistet und von dort aus Spam verbreitet. In einem Thread auf webhostingtalk.com sammeln sich Berichte über das Rootkit.

Rootkit als Bibliothek

Die Malware installiert sich als Libkeyutils.so.1.9 mit Root-Rechten. Betroffen sind bisher mutmaßlich Server, auf denen Red-Hat-basierte Linux-Systeme wie CentOS oder Cloudlinux laufen. Betroffen sind Meldungen zufolge aber auch Archlinux oder Debian. Der Aufruf rpm -qf /lib64/libkeyutils.so.1.9 wird mit der Meldung "file /lib64/libkeyutils.so.1.9 is not owned by any package" quittiert. Betroffen sind auch 32-Bit-Systeme. Dort nistet sich das Rootkit im Verzeichnis /lib ein. Außerdem kann die Locate-Datenbank Updatedb mit su -c "updatedb" && locate libkeyutils.so.1.9 befragt werden. Es gibt auch Hinweise, dass die Datei abweichende Nummerierungen trägt, etwa libkeyutils.so.1.2.

Ersten Meldungen zufolge lässt sich die Malware löschen. Mit ldconfig können die installierten Bibliotheken in ld.so.cache aktualisiert werden. Inzwischen gibt es aber Hinweise, dass die Angreifer auch nach dem Löschen der Datei Zugriff auf den Server haben. Andere Anwender haben inzwischen den SSH-Port ganz abgeschaltet oder IP-Adressen mit Iptables geblockt, die in der Rootkit-Datei eingebettet sind.

Eingebettete IP-Adressen

Eine erste Analyse des Rootkits offenbart eine IP-Adresse, die vermeintlich zu einem Server in Moskau gehörte. Die IP-Adresse lässt sich mit den Befehlen ./audit libkeyutils.so.1.9 output und strings output |grep -Eo '[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}' auslesen.

Das Rootkit spioniert auch Passwörter auf dem betroffenen System aus und überträgt SSH-Schlüssel sowie die Passwortdatei /etc/shadow an den Server über eine SSH-Verbindung. Daher der Name " SSHD-Spam-Exploit".

Verbreitung unklar

Wie sich das Rootkit verbreitet, ist noch unklar. Zunächst berichteten Anwender über lokale Angriffe mit einem Keylogger, der die Login-Daten über eine geöffnete Administrationsshell eines Client-Rechners ausliest und über den Port 53/UDP auf einen Server eines Angreifers überträgt. Inzwischen gibt es aber auch Berichte über einen Angriff aus der Ferne, etwa über eine Schwachstelle im Mailserver Exim oder eine noch nicht gepatchte Ptrace-Schwachstelle im Linux-Kernel bis Version 3.7.5. Eine Infektion über den Linux-Kernel schließen die meisten Betroffenen aber aus. Zumindest der Grad der Verbreitung deutet aber auf externe Angriffe hin.

Für Cloudlinux gibt es einen Patch, der allerdings lediglich die Bibliotheksdatei löscht.


posix 25. Feb 2013

Bei allen Systemen darf man grundsätzlich das Kernproblem nicht ausser acht lassen. Für...

.................. 24. Feb 2013

jein, zusaetzlich hosts.allow / .deny und openvpn für den "Entry" Server...

Dr.med.DenRasen 23. Feb 2013

Das zeichnet diesen Artikel in hoher Art und Weise in Sachen recherchierte Qualität aus...

Franz Hornauer 22. Feb 2013

Zustimmung. Ich habe gerade auf meinen Debian-Systemen geprüft. In dem Golem-Artikel ist...

Snarley 22. Feb 2013

Was ist denn das für eine Formulierung? updatedb ist das Programm zum erneuern der Locate...

Kommentieren



Anzeige

  1. SAP WM/MM Inhouse Berater (m/w)
    SCHOTT AG, Mainz
  2. IT-Desk Agents (m/w)
    Landeshauptstadt München, München
  3. Senior Software Developer (m/w)
    econda GmbH, Karlsruhe
  4. SAP-Koordinator (m/w) SAP SD / SAP ECC 6.0
    DEUTZ AG, Köln-Porz

 

Detailsuche


Top-Angebote
  1. VORBESTELLBAR: Jupiter Ascending Steelbook (exkl. bei Amazon.de) [3D Blu-ray] [Limited Edition]
    29,99€ (Vorbesteller-Preisgarantie) - Release 25.06.
  2. NUR HEUTE: Saturn Super Sunday
    (alle Angebote versandkostenfrei, u. a. Samsung Galaxy Note 4 frost-white inkl. Samsung Gear VR...
  3. TV-Superboxen reduziert
    (u. a. Fringe komplette Serie 56,97€, Friends komplette Serie 73,97€, The Clone Wars 1-5 für...

 

Weitere Angebote


Folgen Sie uns
       


  1. Smithsonian

    Museum restauriert die Enterprise NCC-1701

  2. Cyberkrieg

    Pentagon will Angreifer mit harten Gegenschlägen abschrecken

  3. Weißes Haus

    Hacker konnten offenbar Obamas E-Mails lesen

  4. Unzulässige NSA-Selektoren

    Kanzleramt soll Warnungen des BND ignoriert haben

  5. Android-Tablet

    Google nimmt Nexus 7 aus dem Onlinestore

  6. Aerofoils

    Formel-1-Technik macht Supermarkt-Kühlregale effizienter

  7. Force Touch

    Apples Trackpad könnte künftig verschiedene Oberflächen simulieren

  8. Bodyprint

    Yahoo-Software verwandelt Touchscreen in Ohr-Scanner

  9. BKA

    Ab Herbst 2015 soll der Bundestrojaner einsetzbar sein

  10. Die Woche im Video

    Computerspiele, Whatsapp und Fire TV Stick



Haben wir etwas übersehen?

E-Mail an news@golem.de



Flex Shape Gripper: Zuschnappen wie ein Chamäleon
Flex Shape Gripper
Zuschnappen wie ein Chamäleon
  1. Windkraftwerke Kletterroboter überprüft Windräder
  2. Care-O-bot Der Gentleman-Roboter gibt sich die Ehre
  3. Roboter Festos Falter fliegen fleißig

Android 5.1 im Test: Viel nützlicher Kleinkram
Android 5.1 im Test
Viel nützlicher Kleinkram
  1. Google EU-Wettbewerbsverfahren auch zu Android
  2. Lollipop Trage-Erkennung setzt Passwortsperre aus
  3. Google Android 5.1 bringt mehr Bedienungskomfort und Sicherheit

Everybody's Gone to the Rapture: Apokalypse in der Nachbarschaft angespielt
Everybody's Gone to the Rapture
Apokalypse in der Nachbarschaft angespielt
  1. Indiegame Sony bringt Journey in Full-HD auf die Playstation 4
  2. Alienation angespielt Zerstörungsorgie von den Resogun-Machern
  3. Axiom Verge im Test 16 Bit für Genießer

  1. Re: Überwachung der Normalsterblichen

    Danse Macabre | 19:06

  2. Propaganda und Rassismus

    Rababer | 19:05

  3. Idiotisch und paranoid...

    derdiedas | 19:01

  4. Re: Gibt es eigentlich in Elite

    motzerator | 19:01

  5. Grenzwertig

    tribal-sunrise | 18:57


  1. 15:49

  2. 14:25

  3. 13:02

  4. 11:44

  5. 09:56

  6. 15:17

  7. 10:05

  8. 09:50


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel