US-CERT warnt vor Angriffen auf Linux-Server
Wie schon das DFN-CERT warnt nun das US-CERT vor Angriffen auf Linux-Server, bei denen das Rootkit Phalanx2 installiert wird. Ausgangspunkt für die Attacken sind laut US-CERT gestohlene SSH-Schlüssel, um Zugriff auf Systeme zu erlangen. Über Kernel-Exploits erlangen die Angreifer dann Root-Rechte und installieren die neue Version des Phalanx-Rootkits.
Phalanx2 ist dann laut Sicherheitswarnung(öffnet im neuen Fenster) wiederum so konfiguriert, dass es von dem kompromittierten System SSH-Schlüssel stiehlt. Diese werden dann genutzt, um auf die entsprechenden Server zu gelangen.
Das US-CERT gibt in seiner Meldung Hinweise, wie das Rootkit identifiziert werden kann. Unter anderem soll der Befehl "ls" das Verzeichnis /etc/khubd.p2/ nicht anzeigen, es lässt sich aber mit "cd /etc/khubd.p2" aufrufen. Dies gilt auch für Verzeichnisse mit dem Namen "khubd.p2" an anderen Stellen im Dateisystem. Außerdem kann /dev/shm/ Dateien des Angreifers enthalten.
Administratoren sollen daher ihre Systeme, auf denen SSH-Schlüssel als Teil automatisierter Prozesse verwendet werden, überprüfen, rät das Notfallteam. Wenn ein kompromittiertes System entdeckt wird, sollen Schlüsselauthentifizierungen möglichst deaktiviert und stattdessen Passwörter verwendet werden. Außerdem rät das US-CERT, sämtliche SSH-Schlüssel auf diesen Systemen zu überprüfen.
Weitere Informationen will die Organisation veröffentlichen, sobald diese verfügbar sind.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.