Linux-Backdoor verschlüsselt Sitzungen

Programm öffnet komplettes Terminal

Der Informatikstudent Amir Alsbih hat eine Demonstration einer Linux-Backdoor veröffentlicht, die als Paket-Sniffer fungiert und dabei nicht auf die Software Tcpdump angewiesen ist. Ferner stellt das Backdoor-Programm ein komplettes Terminal bereit und verschlüsselt die Sessions.

Artikel veröffentlicht am 24. Oktober 2006, 11:23 Uhr, Julius Stiebert

Der Gedanke hinter der Hintertür war, eine Backdoor nutzen zu können, die keinen Port belegt, wenn kein Client angemeldet ist, so Alsbih gegenüber Golem.de. Dies sei das Manko der meisten verfügbaren Backdoors, womit Programme wie "netstat" diese auch anzeigen. Um nun nicht ständig einen Port geöffnet zu haben, muss die Software den kompletten Netzwerkverkehr mitschneiden, wofür normalerweise die Libcap von Tcpdump verwendet wird.

Laut Alsbih ist diese Bibliothek allerdings fehlerhaft und es sei nicht effizient, ein Programm vorauszusetzen, das unter Umständen nicht vorhanden ist. Daher baute der Entwickler alle nötigen TCP- und IP-Strukturen selbst nach. Erst wenn ein Client die passenden TCP/IP-Flags an den richtigen Port sendet, wertet die Backdoor dies als erfolgreichen Authentifizierungsversuch und öffnet eine Shell, so Alsbih weiter. Dies könne auch eine Connect-Shell sein, bei der also der Server aktiv die Verbindung zum Client aufbaut, um so Firewalls zu umgehen. Ferner sei es ohne Probleme möglich, dass auf dem konfigurierten Port auch ein anderer Dienst laufe. Über die Header-Datei der Software lassen sich die verwendeten IP-Flags dabei selbst festlegen.

Ein weiteres Problem vieler Hintertüren sei, dass - wenn überhaupt - nur eine XOR-Verschlüsselung zum Einsatz komme. Diese sei jedoch zwecklos, da eine XOR-verschlüsselte Session von Forensikern ohne Probleme wiederhergestellt werden könne, erklärt Alsbih. Sein Programm setzt daher auf die GNU-TLS-Bibliothek, um sichere Sitzungen zu erstellen.

Die geöffnete Shell bietet darüber hinaus alle Funktionen eines richtigen Terminals und unterstützt so auch zeichenorientierte Programme wie Vi und Ähnliche.

Das Safebreaker getaufte Programm soll die nächste Generation von Paket-Sniffer-Backdoors demonstrieren, wie sie von Crackern für missbräuchliche Zwecke verwendet werden könnten. Den Quellcode stellt Alsbih auf seiner Homepage zum Download bereit. Der Informatikstudent hatte in der Vergangenheit unter anderem bereits ein Rootkit für den Linux-Kernel 2.6 sowie das passende Gegenmittel und ein Verfahren zum Aufspüren so genannter Honeypots entwickelt.