DFN-CERT warnt vor neuem Linux-Rootkit
Das DFN-CERT vermutet(öffnet im neuen Fenster), dass es sich bei dem verwendeten Kernel-Rootkit um eine neue Version des Rootkits Phalanx handelt. Beobachtet wurden bisher mehrere Angriffe in verschiedenen Netzwerken. Dazu wurden vermutlich gestohlene SSH-Schlüssel verwendet und anschließend das Rootkit installiert, das die Prozesse der Angreifer versteckt.
Gefunden wurde auf den Systemen unter anderem ein Init-Skript mit Alias-Definitionen, unter anderem um Dateien mit fremden SSH-Schlüsseln zu kopieren. Auch ein Logfile der Tastatureingaben fand sich auf den Systemen.
Das Rootkit korrigiert nach Angaben des DFN-CERT den Linkcount nicht, so dass dieser zu hoch ist, wenn unterhalb eines Verzeichnisses ein weiteres versteckt wurde. Ein Beispiel dafür gibt es in der E-Mail des DFN-CERT.
Um versteckte Prozesse aufzuspüren, hat das DFN-CERT in seiner Warnmeldung zudem ein Skript veröffentlicht. Allerdings ist es durch die Konfiguration des Rootkits möglich, dass beide Methoden nichts finden – ebenso wie das Skript falschen Alarm geben kann.
Auch die Universität Chicago hat einen Hinweis(öffnet im neuen Fenster) veröffentlicht.
- Anzeige Hier geht es zu Linux: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.