Abo
  • Services:
Anzeige
Ein Rootkit verwandelt Linux-Server in Spamschleuder.
Ein Rootkit verwandelt Linux-Server in Spamschleuder. (Bild: Jörg Thoma/Golem.de)

Sicherheit: Keylogger verwandelt Linux-Server in Spam-Schleuder

Ein Rootkit verwandelt Linux-Server in Spamschleuder.
Ein Rootkit verwandelt Linux-Server in Spamschleuder. (Bild: Jörg Thoma/Golem.de)

Unter dem Namen SSHD-Spam-Exploit ist ein Rootkit in Umlauf, das Linux-Server in Spam-Schleudern verwandelt. Zugriff verschaffen sich die Angreifer offenbar über einen Keylogger.

Noch sind über das Rootkit SSHD-Spam-Exploit nicht viele Details bekannt, fest steht aber, dass es sich um ein Linux-Rootkit handelt, das sich auf Servern einnistet und von dort aus Spam verbreitet. In einem Thread auf webhostingtalk.com sammeln sich Berichte über das Rootkit.

Anzeige

Rootkit als Bibliothek

Die Malware installiert sich als Libkeyutils.so.1.9 mit Root-Rechten. Betroffen sind bisher mutmaßlich Server, auf denen Red-Hat-basierte Linux-Systeme wie CentOS oder Cloudlinux laufen. Betroffen sind Meldungen zufolge aber auch Archlinux oder Debian. Der Aufruf rpm -qf /lib64/libkeyutils.so.1.9 wird mit der Meldung "file /lib64/libkeyutils.so.1.9 is not owned by any package" quittiert. Betroffen sind auch 32-Bit-Systeme. Dort nistet sich das Rootkit im Verzeichnis /lib ein. Außerdem kann die Locate-Datenbank Updatedb mit su -c "updatedb" && locate libkeyutils.so.1.9 befragt werden. Es gibt auch Hinweise, dass die Datei abweichende Nummerierungen trägt, etwa libkeyutils.so.1.2.

Ersten Meldungen zufolge lässt sich die Malware löschen. Mit ldconfig können die installierten Bibliotheken in ld.so.cache aktualisiert werden. Inzwischen gibt es aber Hinweise, dass die Angreifer auch nach dem Löschen der Datei Zugriff auf den Server haben. Andere Anwender haben inzwischen den SSH-Port ganz abgeschaltet oder IP-Adressen mit Iptables geblockt, die in der Rootkit-Datei eingebettet sind.

Eingebettete IP-Adressen

Eine erste Analyse des Rootkits offenbart eine IP-Adresse, die vermeintlich zu einem Server in Moskau gehörte. Die IP-Adresse lässt sich mit den Befehlen ./audit libkeyutils.so.1.9 output und strings output |grep -Eo '[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}' auslesen.

Das Rootkit spioniert auch Passwörter auf dem betroffenen System aus und überträgt SSH-Schlüssel sowie die Passwortdatei /etc/shadow an den Server über eine SSH-Verbindung. Daher der Name " SSHD-Spam-Exploit".

Verbreitung unklar

Wie sich das Rootkit verbreitet, ist noch unklar. Zunächst berichteten Anwender über lokale Angriffe mit einem Keylogger, der die Login-Daten über eine geöffnete Administrationsshell eines Client-Rechners ausliest und über den Port 53/UDP auf einen Server eines Angreifers überträgt. Inzwischen gibt es aber auch Berichte über einen Angriff aus der Ferne, etwa über eine Schwachstelle im Mailserver Exim oder eine noch nicht gepatchte Ptrace-Schwachstelle im Linux-Kernel bis Version 3.7.5. Eine Infektion über den Linux-Kernel schließen die meisten Betroffenen aber aus. Zumindest der Grad der Verbreitung deutet aber auf externe Angriffe hin.

Für Cloudlinux gibt es einen Patch, der allerdings lediglich die Bibliotheksdatei löscht.


eye home zur Startseite
posix 25. Feb 2013

Bei allen Systemen darf man grundsätzlich das Kernproblem nicht ausser acht lassen. Für...

.................. 24. Feb 2013

jein, zusaetzlich hosts.allow / .deny und openvpn für den "Entry" Server...

Dr.med.DenRasen 23. Feb 2013

Das zeichnet diesen Artikel in hoher Art und Weise in Sachen recherchierte Qualität aus...

Franz Hornauer 22. Feb 2013

Zustimmung. Ich habe gerade auf meinen Debian-Systemen geprüft. In dem Golem-Artikel ist...

Snarley 22. Feb 2013

Was ist denn das für eine Formulierung? updatedb ist das Programm zum erneuern der Locate...



Anzeige

Stellenmarkt
  1. MOBOTIX AG, Langmeil
  2. Zürich Beteiligungs-Aktiengesellschaft, Bonn
  3. Villeroy & Boch AG, Mettlach bei Saarbrücken / Merzig
  4. Bertrandt Ingenieurbüro GmbH, Tappenbeck


Anzeige
Hardware-Angebote
  1. (reduzierte Überstände, Restposten & Co.)
  2. (Core i5-6600 + Geforce GTX 1070)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Mehr dazu im aktuellen Whitepaper von Freudenberg IT
  2. Mehr dazu im aktuellen Whitepaper von IBM
  3. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. China

    Dropbox-Alternative Seafile im Streit mit Mutterkonzern

  2. Verizon Communications

    Yahoo hat einen Käufer gefunden

  3. Deutschland

    Preiserhöhung bei Netflix jetzt auch für Bestandskunden

  4. Künstliche Intelligenz

    Softbank und Honda wollen sprechendes Auto bauen

  5. Alternatives Android

    Cyanogen soll zahlreiche Mitarbeiter entlassen

  6. Update

    Onedrive erstellt automatisierte Alben und erkennt Pokémon

  7. Die Woche im Video

    Ausgesperrt, ausprobiert, ausgetüftelt

  8. 100 MBit/s

    Zusagen der Bundesnetzagentur drücken Preis für Vectoring

  9. Insolvenz

    Unister Holding mit 39 Millionen Euro verschuldet

  10. Radeons RX 480

    Die Designs von AMDs Partnern takten höher - und konstanter



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Nuki Smart Lock im Test: Ausgesperrt statt aufgesperrt
Nuki Smart Lock im Test
Ausgesperrt statt aufgesperrt

Schrott im Netz: Wie Social Bots das Internet gefährden
Schrott im Netz
Wie Social Bots das Internet gefährden
  1. Netzwerk Wie Ausrüster Google Fiber und Facebooks Netzwerk sehen
  2. Secret Communications Facebook-Messenger bald mit Ende-zu-Ende-Verschlüsselung
  3. Social Media Ein Netzwerk wie ein Glücksspielautomat

Masterplan Teil 2: Selbstfahrende Teslas werden zu Leihautos
Masterplan Teil 2
Selbstfahrende Teslas werden zu Leihautos
  1. Projekt Titan Apple Car soll später kommen
  2. Nissan Serena Automatisiert fahrender Minivan soll im August erscheinen
  3. Elon Musk Tesla-Chef arbeitet an neuem Masterplan

  1. Re: Ich glaube den Chinesen

    quasides | 02:15

  2. Re: Gut so, hoffentlich bald alle arbeitslos

    Pjörn | 02:08

  3. Re: Der Grund war eindeutig.

    zampata | 01:26

  4. Re: Immer noch kein HBM?

    ms (Golem.de) | 01:05

  5. Re: AMD ist nicht tot zu bekommen...und das ist...

    ms (Golem.de) | 01:04


  1. 15:30

  2. 14:13

  3. 12:52

  4. 15:17

  5. 14:19

  6. 13:08

  7. 09:01

  8. 18:26


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel