Abo
  • Services:
Anzeige
Das Botnet Windigo infiltriert Webserver mit gestohlenen SSH-Zugangsdaten.
Das Botnet Windigo infiltriert Webserver mit gestohlenen SSH-Zugangsdaten. (Bild: Eset)

Botnet Windigo: 10.000 kompromittierte Linux-Server als Malwareschleudern

Mehr als 10.000 Linux- und Unix-Server sollen mit unterschiedlicher Malware infiziert worden sein und zusammen unter dem Namen Operation Windigo Spam weitere Malware sowie zweifelhafte Werbung ausliefern.

Anzeige

Mit einer Kombination aus Rootkits und weiterer Schadsoftware liefern Kriminelle über gekaperte Linux- und Unix-Webserver Malware, pornografische Werbung und massenhaft Spam aus. Forscher haben das seit 2011 agierende Botnet "Operation Windigo" benannt. Möglicherweise wurde auch der Server von Kernel.org der Linux Foundation Opfer eines solchen Angriffs. Das Sicherheitsunternehmen Eset hat Windigo zusammen mit dem europäischen CERT, der europäischen Kernforschungsagentur CERN und der schwedischen National Infrastructure for Computing analysiert.

Die Betreiber des Botnets verschaffen sich über gestohlene Zugangsdaten Zugriffe auf die Server, auf denen in der Mehrzahl Linux läuft. Dort wird das Rootkit Linux/Ebury installiert, mit dem sich SSH-Zugangsdaten auf den infizierten Servern auslesen lassen. Mit dem Befehl ssh -G 2>&1 | grep -e illegal -e unknown > /dev/null && echo "System clean" || echo "System infected" lässt sich laut den Sicherheitsforschern bei Eset ermitteln, ob ein Server Teil des Windigo-Botnets geworden ist. Erste Versionen von Linux/Ebury veränderten noch die OpenSSH-Dateien ssh, sshd und ssh-add. Aktuelle Versionen manipulieren stattdessen die Datei libkeyutils.so, die von allen ausführbaren SSH-Dateien verwendet wird. Die infizierte Version der Bibliothek libkeyutils.so ist 30 KByte statt wie üblich 10 KByte groß. Die aktuelle Version von Linux/Ebury stammt von Mitte Februar 2014.

Angreifer nutzen die ergatterten SSH-Zugangsdaten, um sich Zugang zu Webseiten zu verschaffen, die über die infiltrierten Server ausgeliefert werden. Dort wird dann Linux/Cdorked installiert, über den weitere Malware die Besucher der infizierten Webseiten attackiert. Alternativ wird zweifelhafte Werbung ausgeliefert, etwa für pornografische Webseiten. Zusätzlich installieren die Angreifer das Perl-Skript Perl/Calfbot, über das Spam verschickt werden kann. Das Perl-Skript wird auch dann installiert, wenn sich die Angreifer keinen Root-Zugang zu einem Server verschaffen können, sondern nur Benutzerrechte erhalten.

Die Forscher bei Eset kommen zu dem Schluss, dass vor allem die unzureichende Authentifizierung auf den betroffenen Server den Angreifern zugutekomme. Stattdessen empfehlen die Sicherheitsforscher eine zweifache Authentifizierung. Da vermutlich nicht nur die genannte Malware auf den infizierten Servern installiert sei, sondern möglicherweise auch bislang unbekannte Schadsoftware, bleibe den Betroffenen meist nur die Möglichkeit, das Betriebssystem komplett neu zu installieren. Eine Reinigung der Server sei nahezu unmöglich, heißt es in der Analyse. Außerdem müssten Zugangsdaten zurückgesetzt und die betroffenen Nutzer informiert werden.

Diese Erfahrung haben wohl auch die Administratoren der Server Odin1 und Hera bei der Linux Foundation gemacht. Nach wochenlanger Suche wurden die Server von Kernel.org komplett neu aufgesetzt und sämtliche SSH-Zugänge als kompromittiert eingestuft und zurückgesetzt. Eine versprochene Fehleranalyse wurde bis heute nicht nachgereicht.


eye home zur Startseite
chrulri 20. Mär 2014

Das einzige was etwas bezüglich gestohlenen Zugangsdaten ändern würde, wäre eine 2-Level...

DASPRiD 20. Mär 2014

deaktiviert man als allererstes beim Einrichten eines Servers die Password...

M.P. 20. Mär 2014

Aus den Aussagen des Artikels abgelesen (abgesehen von der Überschrift) sind es...

Moe479 19. Mär 2014

... ist ja eher gering bei der großen anzahl an linux basierten web-servern.

Baron Münchhausen. 19. Mär 2014

Jep, und es wird speziell die stderr ausgabe (2) überprüft, in die ssh schreibt. Bei...



Anzeige

Stellenmarkt
  1. m:pro IT Consult GmbH, Wiesbaden
  2. TAMPOPRINT® AG, Korntal-Münchingen
  3. QSC AG, Hamburg
  4. Landkreis Lörrach, Lörrach


Anzeige
Spiele-Angebote
  1. 16,99€
  2. 6,99€
  3. 27,99€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. Hardlight VR Suit

    Vibrations-Weste soll VR-Erlebnis realistischer machen

  2. Autonomes Fahren

    Der Truck lernt beim Fahren

  3. Selektorenaffäre

    BND soll ausländische Journalisten ausspioniert haben

  4. Kursanstieg

    Bitcoin auf neuem Rekordhoch

  5. Google-Steuer

    Widerstand gegen Leistungsschutzrecht auf EU-Ebene

  6. Linux-Kernel

    Torvalds droht mit Nicht-Aufnahme von Treibercode

  7. Airbus A320

    In Flugzeugen wird der Platz selbst für kleine Laptops knapp

  8. Urheberrecht

    Marketplace-Händler wegen Bildern von Amazon bestraft

  9. V8 Turbofan

    Neuer Javascript-Compiler für Chrome kommt im März

  10. Motion Control

    Kamerafahrten für die perfekte Illusion



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Limux: Die tragische Geschichte eines Leuchtturm-Projekts
Limux
Die tragische Geschichte eines Leuchtturm-Projekts
  1. Limux München prüft Rückkehr zu Windows
  2. Limux-Projekt Windows könnte München mehr als sechs Millionen Euro kosten
  3. Limux Münchner Stadtrat ignoriert selbst beauftragte Studie

Wacoms Intuos Pro Paper im Test: Weg mit digital, her mit Stift und Papier!
Wacoms Intuos Pro Paper im Test
Weg mit digital, her mit Stift und Papier!
  1. Wacom Brainwave Ein Graph sagt mehr als tausend Worte
  2. Canvas Dells Stift-Tablet bedient sich bei Microsoft und Wacom
  3. Intuos Pro Wacom verbindet Zeichentablet mit echtem Papier

Bundesnetzagentur: Puppenverbot gefährdet das Smart Home und Bastler
Bundesnetzagentur
Puppenverbot gefährdet das Smart Home und Bastler
  1. My Friend Cayla Eltern müssen Puppen ihrer Kinder zerstören
  2. Matoi Imagno Wenn die Holzklötzchen zu dir sprechen
  3. Smart Gurlz Programmieren lernen mit Puppen

  1. Re: Delays wegen Handgepäck, slightly OT

    Icestorm | 07:38

  2. Re: Bei 70cm dürfte der Sitz nur max. 2cm verbrauchen

    NaruHina | 07:33

  3. Re: Klasse, wie "open" dieses Open Source doch ist.

    Lasse Bierstrom | 07:28

  4. Re: Die Nachrichtendienste spionieren

    AlexanderSchäfer | 07:21

  5. Re: Mal im Ernst

    Smincke | 07:21


  1. 18:02

  2. 17:43

  3. 16:49

  4. 16:21

  5. 16:02

  6. 15:00

  7. 14:41

  8. 14:06


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel