LONDON (IT BOLTWISE) – Sicherheitsforscher berichten von einer über Jahre versteckten Backdoor, die nicht in einzelne Malware verlegt wurde, sondern direkt in die Linux-Login-Kette. Über manipulierte PAM-Module und veränderte OpenSSH-Binaries erlangte ein Angreifer Anmeldeinformationen und sogar Kommando-Interaktion, ohne klassische Exploits oder auffällige Schadsoftware-Spuren. Entscheidend ist: Standard-Containment hilft wenig, wenn die Programme zur Authentifizierung selbst kompromittiert sind. Der Bericht zeigt damit einen neuen Schwerpunkt für Integritätschecks auf Betriebssystem- und Login-Ebene.
Wer Verteidigungsmaßnahmen bisher primär auf Endpunkte, Netzwerksegmente und bekannte Payloads ausrichtete, muss die Lage neu bewerten: Ein als Velvet Ant verfolgter Akteur hat laut Berichten nahezu ein Jahrzehnt „innerhalb“ des Linux-Loginsystems agiert. Statt neue Schadsoftware nachzuladen, veränderte er die Programme, die zuverlässig und vertrauenswürdig sind – damit verschob sich der Angriff aus dem Bereich auffindbarer Malware in den Bereich von Systemintegrität. Das ist besonders gefährlich, weil Login-Komponenten im Betrieb selten streng überwacht werden und tägliche Admin-Arbeiten die Spuren verwischen. Für Unternehmen bedeutet das eine Verschiebung von reaktiven Alerts hin zu belastbaren Verifikationsmechanismen auf Plattformebene.
Technisch setzt der Angriff genau dort an, wo Linux entscheidet, wer sich authentifizieren darf: bei PAM (Pluggable Authentication Modules) und bei den OpenSSH-Komponenten. PAM fungiert als modulare Schicht, die anhand definierter Regeln und Module Login-Erlaubnis oder -Verweigerung steuert; OpenSSH wiederum bildet die Grundlage für SSH-Zugänge, inklusive Authentifizierung und Befehlsweitergabe. In den untersuchten Fällen ersetzte der Angreifer die zentralen PAM-Module durch manipulierte Kopien. Manche Varianten verlangten ein geheimes Passwort, andere protokollierten reale Benutzernamen und Passwörter beim Einloggen. Zusätzlich berichten die Forscher von mehreren getrennten Modulversionen, was auf Anpassungen über die Zeit und auf zielgerichtetes „In-Place“-Update-Management schließen lässt.
Damit die Aktivität auf isolierten Netzwerken möglich wurde, brauchte der Angreifer mehr als nur einen initialen Zugriff. Das Zielnetzwerk war laut Bericht nicht direkt mit dem Internet verbunden, weshalb der Akteur zunächst über internet-exponierte Systeme stufenweise dorthin gelangte. Besonders bemerkenswert ist, dass er den kompromittierten Pfad nicht als klassischen „Dropper“-Prozess ausspielte, sondern über eine Art Brücke Befehle in das abgeschottete Segment leitete: Über einen internetseitig erreichbaren Webserver wurden Remote-Sessions so in den internen Bereich „durchgeschaltet“. Sobald dort die Login-Kette manipuliert war, konnte der Angriff über legitime Authentifizierungsabläufe stattfinden – also genau über jene Prozesse, die Security-Teams im Normalbetrieb am wenigsten stören dürfen.
Der Bericht hebt zudem ein zweites, für Incident-Response extrem relevantes Muster hervor: Der Angreifer veränderte die vertrauenswürdigen Programme so, dass typische Gegenmaßnahmen verpuffen. Wenn ein System die Anmeldedaten bereits mit einer manipulierten PAM-Logik prüft oder wenn SSH-Binaries Kommandoeingaben mitschneiden, dann helfen Passwort-Reset und das „Kappen“ von Sessions nur kurzfristig. Im Kern wird damit das Prinzip umgedreht: Statt dass Angreifer Daten aus Systemen ziehen, nutzen sie die ohnehin notwendige Kontrolle der Authentifizierung, um Daten abzugreifen. Die Forscher beschreiben außerdem bei OpenSSH eine geheime Umschaltlogik, mit der das Logging bei Bedarf deaktiviert werden kann – ein weiterer Grund, warum reine Netzwerk- oder Host-Alerts ohne Integritätsbezug oft zu spät greifen.
Dieses Vorgehen ist nicht als isolierter Einzelfall zu verstehen. In früheren Operationen soll derselbe Akteur ähnliche „Trust-By-Default“-Zonen missbraucht haben: Im Jahr 2024 wurden laut den Forschern internet-exponierte F5 BIG-IP-Appliances als interne Command-Server umfunktioniert. Später wurde berichtet, dass der Akteur außerdem eine Schwachstelle in Cisco NX-OS ausnutzte, CVE-2024-20399, um eine Backdoor auf Switches zu platzieren – wobei dieser Bug voraussetzt, dass bereits Admin-Zugriff vorliegt. Gerade diese Korrelation ist wichtig: Viele Unternehmen schützen sich gegen externe Exploits, aber unterschätzen, wie schnell Persistenz im „Management-Umfeld“ gedeiht, wenn dort zusätzliche Integritätsgarantien fehlen. Als Kontext lässt sich auch die Praxis von Vendoren wie Red Hat einordnen, Integritäts- und Konfigurationsprüfungen zu betonen, weil Patchen allein nicht jede Manipulation verhindert.
Für die Marktwirkung ist die Botschaft klar: Die Defensivlandschaft muss stärker in Richtung KI-gestützter und automatisierter Integritätsüberwachung ausgebaut werden, die nicht nur Events, sondern Zustände verifiziert. Natürlich sind Tools zur Anomalieerkennung und SIEM-Korrelation weiterhin relevant; sie reichen aber nicht aus, wenn der kompromittierte Code in den „normalen“ Pfad eingebettet wird. Experten würden diese Lücke meist als Problem der „Trusted Computation Base“ beschreiben: Wenn die Basis der Authentifizierung selbst verändert ist, werden viele Heuristiken unzuverlässig. Wettbewerb im Security-Markt zeigt sich genau hier: Plattformen, die File-Integrity-Monitoring (FIM), Policy-as-Code und gezielte Baseline-Checks kombinieren, werden gegenüber reinen Log- oder Signaturansätzen aufholen. Der Bericht liefert damit eine direkte, umsetzungsorientierte Agenda für Enterprise-Betriebsteams.
Der operative Kern der Empfehlungen lautet daher: Fixes allein sind nicht ausreichend; erforderlich ist Überprüfung statt Blind-Patching. Bei Operation Highland wird betont, dass es sich nicht um ein „One-CVE-Problem“ handelt: Nachdem der Angreifer in die vertrauenswürdigen Programme eingreift, muss der Verteidiger den Zustand verifizieren und das kompromittierte Modul ersetzen – allerdings mit großer Sorgfalt, weil falsche Ersetzungen Admin-Zugänge dauerhaft blockieren können. Praktisch bedeutet das Monitoring auf PAM- und OpenSSH-Module sowie deren Schlüsseldateien, idealerweise durch Vergleich mit bekannten guten Referenzen. Sucht man statt auf Alerts zu warten, lässt sich der „Was wurde geändert?“-Weg priorisieren: Integritätsdeltas, Hash-Änderungen und nachvollziehbare Deploy-Protokolle sind dabei wichtiger als nur das Ereignis im Log.
Für die Zukunft zeichnet sich ein klares Muster ab: Infrastruktur, die im Betrieb „außerhalb“ der üblichen Telemetrie liegt, braucht eigene Integritätschecks. Load Balancer, Switches und Login-Schichten werden selten wie klassische Serverfeatures behandelt, obwohl sie sicherheitskritisch sind. Teams sollten deshalb Deployments in einer Lab-Umgebung gegen echte Produktionspfade testen, bevor sie Authentifizierungs-Pakete austauschen. Gleichzeitig müssen Reset- und Purge-Prozesse so geplant werden, dass die Backdoor entfernt wird, bevor neue Passwörter „erneut“ abgegriffen werden. Wenn sich diese Angriffslogik weiter verbreitet, entstehen für Entwickler und Security-Architekten neue Anforderungen an Software Supply Chains, Build- und Signaturketten sowie an automatisierte Compliance-Prüfungen auf Betriebssystem- und Auth-Subsystem-Ebene.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Angriff über PAM und OpenSSH: Linux-Login als Einfallstor für nahezu zehn Jahre verdeckte Backdoors" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Angriff über PAM und OpenSSH: Linux-Login als Einfallstor für nahezu zehn Jahre verdeckte Backdoors" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Angriff über PAM und OpenSSH: Linux-Login als Einfallstor für nahezu zehn Jahre verdeckte Backdoors« bei Google Deutschland suchen, bei Bing oder Google News!