Proftpd

Hacker schleusen Malware in Quellcode

Hacker nutzten vermutlich eine Sicherheitslücke in dem Ftp-Server des Proftpd-Projekts, um Schadcode in die aktuelle Version Proftpd 1.3.3c einzuschleusen. Darüber können sich unautorisierte Benutzer mit Root-Rechten auf Ftp-Servern Zutritt verschaffen, die die manipulierte Version von Proftpd verwenden.

Artikel veröffentlicht am 2. Dezember 2010, 16:26 Uhr, Jörg Thoma

Proftpd-Entwickler TJ Saunders hat in der Mailingliste des quelloffenen Proftd-Servers mitgeteilt, dass bereits am 28. November 2010 um etwa 20 Uhr UTC (21 Uhr MEZ) ein Einbruch erfolgte. Die Einbrecher ersetzten den Quellcode der aktuellen Version 1.3.3c durch ihren eigenen, der einen Backdoor-Code enthielt. Am 1. Dezember 2010 wurde der kompromittierte Code entdeckt und wenig später korrigiert.

Der Einbruch fand auf dem Hauptserver des Projekts statt. Der dort gelagerte Code wird per Rsync auch auf die Spiegelserver übertragen. Laut den Entwicklern des Proftd-Projekts enthalten alle Versionen des Quellcodes, die zwischen dem 28. November und dem 2. Dezember 2010 heruntergeladen wurden, das Backdoor-Programm.

Über den eingeschleusten Schadcode ist es laut Entwickler möglich, eine ungenehmigte Verbindung zu einem kompromittierten Proftpd-Server mit administrativen Rechten aufzubauen. Anwendern wird entsprechend geraten, umgehend auf die reparierte Version 1.3.3c zu aktualisieren.

Bereits zuvor war auf Metasploit eine Sicherheitslücke in dem FTP-Server bekanntgeworden: Angreifer konnten durch einen Pufferüberlauf in Proftd Schadcode einschleusen. Die Lücke betraf die Versionen 1.3.2rc3 bis 1.3.3b, die auf BSD-Servern laufen. Ob die Angreifer diese Lücke nutzen, um sich Zugang zu dem zuletzt gehackten Quellcode zu verschaffen, ließen die Entwickler in der Mitteilung offen.