Sicherheit: Keylogger verwandelt Linux-Server in Spam-Schleuder

Unter dem Namen SSHD-Spam-Exploit ist ein Rootkit in Umlauf, das Linux-Server in Spam-Schleudern verwandelt. Zugriff verschaffen sich die Angreifer offenbar über einen Keylogger.

Artikel veröffentlicht am ,
Ein Rootkit verwandelt Linux-Server in Spamschleuder.
Ein Rootkit verwandelt Linux-Server in Spamschleuder. (Bild: Jörg Thoma/Golem.de)

Noch sind über das Rootkit SSHD-Spam-Exploit nicht viele Details bekannt, fest steht aber, dass es sich um ein Linux-Rootkit handelt, das sich auf Servern einnistet und von dort aus Spam verbreitet. In einem Thread auf webhostingtalk.com sammeln sich Berichte über das Rootkit.

Rootkit als Bibliothek

Stellenmarkt
  1. IT & Technik
    Bezirkskliniken Schwaben, alle Standorte
  2. Data Scientist / Statistikerin / Statistiker / Epidemiologin / Epidemiologe - Hämatologie ... (m/w/d)
    Universitätsklinikum Frankfurt, Frankfurt am Main
Detailsuche

Die Malware installiert sich als Libkeyutils.so.1.9 mit Root-Rechten. Betroffen sind bisher mutmaßlich Server, auf denen Red-Hat-basierte Linux-Systeme wie CentOS oder Cloudlinux laufen. Betroffen sind Meldungen zufolge aber auch Archlinux oder Debian. Der Aufruf rpm -qf /lib64/libkeyutils.so.1.9 wird mit der Meldung "file /lib64/libkeyutils.so.1.9 is not owned by any package" quittiert. Betroffen sind auch 32-Bit-Systeme. Dort nistet sich das Rootkit im Verzeichnis /lib ein. Außerdem kann die Locate-Datenbank Updatedb mit su -c "updatedb" && locate libkeyutils.so.1.9 befragt werden. Es gibt auch Hinweise, dass die Datei abweichende Nummerierungen trägt, etwa libkeyutils.so.1.2.

Ersten Meldungen zufolge lässt sich die Malware löschen. Mit ldconfig können die installierten Bibliotheken in ld.so.cache aktualisiert werden. Inzwischen gibt es aber Hinweise, dass die Angreifer auch nach dem Löschen der Datei Zugriff auf den Server haben. Andere Anwender haben inzwischen den SSH-Port ganz abgeschaltet oder IP-Adressen mit Iptables geblockt, die in der Rootkit-Datei eingebettet sind.

Eingebettete IP-Adressen

Eine erste Analyse des Rootkits offenbart eine IP-Adresse, die vermeintlich zu einem Server in Moskau gehörte. Die IP-Adresse lässt sich mit den Befehlen ./audit libkeyutils.so.1.9 output und strings output |grep -Eo '[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}' auslesen.

Golem Karrierewelt
  1. Adobe Premiere Pro Aufbaukurs: virtueller Zwei-Tage-Workshop
    17./18.10.2022, Virtuell
  2. Blender Grundkurs: virtueller Drei-Tage-Workshop
    12.-14.12.2022, Virtuell
Weitere IT-Trainings

Das Rootkit spioniert auch Passwörter auf dem betroffenen System aus und überträgt SSH-Schlüssel sowie die Passwortdatei /etc/shadow an den Server über eine SSH-Verbindung. Daher der Name " SSHD-Spam-Exploit".

Verbreitung unklar

Wie sich das Rootkit verbreitet, ist noch unklar. Zunächst berichteten Anwender über lokale Angriffe mit einem Keylogger, der die Login-Daten über eine geöffnete Administrationsshell eines Client-Rechners ausliest und über den Port 53/UDP auf einen Server eines Angreifers überträgt. Inzwischen gibt es aber auch Berichte über einen Angriff aus der Ferne, etwa über eine Schwachstelle im Mailserver Exim oder eine noch nicht gepatchte Ptrace-Schwachstelle im Linux-Kernel bis Version 3.7.5. Eine Infektion über den Linux-Kernel schließen die meisten Betroffenen aber aus. Zumindest der Grad der Verbreitung deutet aber auf externe Angriffe hin.

Für Cloudlinux gibt es einen Patch, der allerdings lediglich die Bibliotheksdatei löscht.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


posix 25. Feb 2013

Bei allen Systemen darf man grundsätzlich das Kernproblem nicht ausser acht lassen. Für...

.................. 24. Feb 2013

jein, zusaetzlich hosts.allow / .deny und openvpn für den "Entry" Server...

Dr.med.DenRasen 23. Feb 2013

Das zeichnet diesen Artikel in hoher Art und Weise in Sachen recherchierte Qualität aus...

Franz Hornauer 22. Feb 2013

Zustimmung. Ich habe gerade auf meinen Debian-Systemen geprüft. In dem Golem-Artikel ist...



Aktuell auf der Startseite von Golem.de
Neue Grafikkarten
Erste Preise für Nvidias Geforce RTX 4090 aufgetaucht

Der US-Händler Newegg gibt einen Blick auf die Preise der Nvidia-Ada-Grafikkarten. Sie werden teurer als die Geforce RTX 3090 zuvor.

Neue Grafikkarten: Erste Preise für Nvidias Geforce RTX 4090 aufgetaucht
Artikel
  1. Smart Home Eco Systems: Was unterscheidet Alexa von Homekit von Google Home?
    Smart Home Eco Systems
    Was unterscheidet Alexa von Homekit von Google Home?

    Alexa, Homekit, Google Home - ist das nicht eigentlich alles das Gleiche? Nein, es gibt erhebliche Unterschiede bei Sprachsteuerung, Integration und Datenschutz. Ein Vergleich.
    Eine Analyse von Karl-Heinz Müller

  2. Hideo Kojima: Es sollte ein Death-Stranding-Spiel für Google Stadia geben
    Hideo Kojima
    Es sollte ein Death-Stranding-Spiel für Google Stadia geben

    Hideo Kojima arbeitete am Exklusivtitel für Stadia. Das wurde vorzeitig eingestellt, auch weil Google nicht an Einzelspieler-Games glaubte.

  3. Superbase V: Zendures Solarstation mit 6.400 Wh kommt mit hohem Rabatt
    Superbase V
    Zendures Solarstation mit 6.400 Wh kommt mit hohem Rabatt

    Vor dem Verkaufsstart über die eigene Webseite verkauft Zendure seine Superbase V über Kickstarter - mit teilweise fast 50 Prozent Rabatt.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Razer DeathAdder V3 Pro 106,39€ • Alternate (u. a. Kingston FURY Beast RGB 32 GB DDR5-6000 226,89€, be quiet! Silent Base 802 Window 156,89€) • MindFactory (u. a. Kingston A400 240/480 GB 17,50€/32€) • SanDisk microSDXC 400 GB 29,99€ • PCGH-Ratgeber-PC 3000 Radeon Edition 2.500€ [Werbung]
    •  /