LONDON (IT BOLTWISE) – Zwei unabhängig entdeckte Kampagnen zeigen, wie Angreifer über Linux-Authentifizierung und die Software-Lieferkette über Jahre hinweg Zugriffe ausnutzen können. Die Gruppe Velvet Ant manipulierte PAM- und OpenSSH-Komponenten, um unbemerkt zu protokollieren und Befehle auszuführen – sogar in Luftspalt-Umgebungen. Parallel setzte REF6138 auf kompromittierte Build-Prozesse, um Hintertüren in gängigen Tools wie curl, sudo und sshd zu verankern. Für Unternehmen bedeutet das: Sicherheitsteams müssen Betrieb, Build-Chain und Authentifizierungsprozesse gemeinsam härten, statt nur Netzwerkverkehr zu überwachen.
Die neue Detaillage zu zwei Linux-bezogenen Kampagnen wirkt wie ein Weckruf für Security-Teams, die sich auf traditionelle Erkennungslogik verlassen. Zum einen berichten Sicherheitsforscher über die Gruppe Velvet Ant, die sich seit 2016 über den gesamten Authentifizierungsprozess in Zielsysteme eingeklinkt haben soll, ohne dass typische Alarmregeln griffen. Zum anderen wird mit REF6138 eine Kampagne beschrieben, die nicht einzelne Hosts, sondern die Software-Lieferkette adressiert. Beide Muster greifen dabei an Stellen an, die in vielen Organisationen zwar bekannt, aber im Alltag oft nicht mit der gleichen Tiefe abgesichert werden: Identität, Authentifizierung und der Weg von Quellcode zu installierbarer Software.
Technisch beginnt die erste Geschichte dort, wo Linux-Administratoren selten “Forschungsspielraum” erwarten: bei Pluggable Authentication Modules (PAM) und OpenSSH. Velvet Ant soll verschiedene Varianten von PAM-Manipulationen genutzt haben, um sowohl Benutzerdaten auszulesen als auch Systembefehle heimlich zu protokollieren. Entscheidend ist weniger der einzelne Bypass als die Art der Tarnung: Klassische Detektion schaut häufig auf auffälligen Netzwerkverkehr oder ungewöhnliche Dateiveränderungen. In diesem Szenario wird die Authentifizierung selbst zum Deckmantel, wodurch der Schadcode in den normalen Ablauf integriert wirkt. Damit steigt die Anforderung an forensische Checks deutlich: Sie müssen Prozesspfade, Bibliotheksladevorgänge und Auth-Entscheidungsstellen mitdenken.
Besonders brisant wird das Ganze, wenn es um Air-Gapped-Umgebungen geht. Hier setzen viele Unternehmen darauf, dass “kein Internet” genügt. Velvet Ant soll dennoch Brückenköpfe nutzen, indem auf internetfähigen Systemen manipulierte Nginx- und FastCGI-Konfigurationen als Transfermechanismus dienten. Der praktische Angriffszug erinnert daran, dass Netzsegmentierung nicht automatisch “Immunität” bedeutet: Wenn ein System indirekt externe Requests verarbeitet, entsteht eine funktionale Angriffsoberfläche. In der Rückschau wird zudem sichtbar, warum Bedrohungsakteure oft nicht nur Payload-Logik optimieren, sondern auch die “Erscheinungsform” der Aktivität anpassen. Aus Sicht der Defense ist das der Unterschied zwischen Erkennung, die auf Verkehrssignaturen setzt, und Härtung, die die Vertrauensgrenzen im Auth- und Proxy-Umfeld konsequent überprüft.
Der zweite Strang, REF6138, adressiert den historischen Schwachpunkt der Branche: Build- und Release-Prozesse. Die Beschreibung geht dahin, dass Angreifer die Build-Prozesse kompromittierten, um Hintertüren in weit verbreitete Dienstprogramme zu injizieren, etwa in curl, sudo oder sshd. Betroffen sein sollen besonders Telekommunikations- und Regierungsnetzwerke, mit Fokus auf Systeme mit CentOS und Fedora. Wenn der kompromittierte Code bereits in der Build-Phase entsteht, wirkt die spätere Analyse häufig “zu spät”, weil die Änderung formal wie eine reguläre Softwareversion aussieht. Das ist aus Markt- und Architekturperspektive ein harter Konflikt zwischen Geschwindigkeit und Kontrolle: Organisationsprozesse, die Deployments standardisieren, müssen gleichzeitig die Integrität der Toolchain absichern, sonst werden sie ungewollt zum Multiplikator.
Wie ordnen Experten diese Muster ein? In der Praxis sehen viele Analysten einen klaren Trend: Statt nur Endpunkte zu “infizieren”, zielen Kampagnen zunehmend auf Vertrauensknoten, die in heterogenen Infrastrukturen immer wieder vorkommen. In ähnlicher Weise wie andere große Threat-Intelligence-Programme öffentliche Taktiken klassifizieren, bewerten auch Branchenstimmen die Kombination aus Auth-Bypass und Lieferkettenmanipulation als besonders wirksam, weil sie mehrere Sicherheitskontrollen gleichzeitig überdehnt. Elastic Security Labs wird dabei als Quelle der zweiten Kampagne genannt, was die Relevanz bestätigt, aber auch zeigt, wie wettbewerbsfähig das Threat-Research-Feld geworden ist: Gute Analysen sind längst nicht mehr nur “Signaturen”, sondern skalierbare Hypothesenbildung über Build-Artefakte, Paketquellen und Laufzeitverhalten. Der historische Vergleich liegt nahe: Schon früher wurden Rootkits über Systemdienste eingeschleust, doch hier verschiebt sich der Schwerpunkt in Richtung Identität und Softwarelieferung.
Für Security-Verantwortliche folgt daraus ein konkretes Umdenken in der Operations-Praxis. Wo Velvet Ant Hintertüren direkt in den Authentifizierungsablauf integriert haben soll, ist “schnell entfernen” riskant: Ein unsorgfältiger Eingriff könnte das Zugangssystem lahmlegen. Die Berichte deuten an, dass Teams eine separate Testumgebung aufbauen mussten, um die Bereinigung zu simulieren, bevor Änderungen im Live-Betrieb umgesetzt werden. Diese Operational-Realität ist auch für Audits relevant: Sie zeigt, dass Incident Response nicht allein aus dem Löschen von Artefakten besteht, sondern aus kontrollierten Wiederherstellungsprozessen. Gleichzeitig müssen Guardrails für die Auth- und Toolchain-Ebene enger verzahnt werden: Integritätsprüfungen, abgesicherte Build-Schritte und reproduzierbare Releases werden zu Voraussetzungen, nicht zu “Nice-to-have”.
Auch regulatorisch und datenschutzseitig ist das Thema nicht kleinzureden. Authentifizierungsdaten, Protokolle und ggf. abgelesene Benutzereingaben berühren schnell personenbezogene Informationen, besonders in Behörden- und Telekommunikationskontexten. Wenn Angriffe “aus dem Auth-Workflow heraus” Logik verändern, wird der Nachweis über Datenzugriffe komplexer: Unternehmen brauchen klare Datenflüsse, minimierte Log-Grunddaten und nachprüfbare Lösch- und Retention-Mechanismen. Zugleich fordern viele Compliance-Rahmen, dass Kontrollen nachweisbar wirksam sind und Änderungen nachvollziehbar dokumentiert werden – genau das kollidiert im Lieferkettenfall mit unklaren Build-Ursprüngen. In der Zukunft dürfte deshalb verstärkt der Nachweis über Softwareintegrität (z. B. durch Signaturen, SBOM-Transparenz und Policy-gesteuerte Deployments) in den Vordergrund rücken, während zugleich Auth-Zugriffe stärker überwacht werden.
Der Ausblick für 2025 und darüber hinaus ist klar: Wir werden mehr Angriffe sehen, die sich nicht nur im Netzwerk abspielen, sondern in den “Normalpfaden” der Systeme. Damit verlagert sich die Messlatte in Richtung Systemverhalten: Welche Libraries werden beim Login geladen? Stimmen die erwarteten PAM- und OpenSSH-Konfigurationen wirklich mit dem Releasezustand überein? Und auf Lieferkettenebene: Lässt sich jede Binärdistribution auf einen kontrollierten Build zurückführen, oder ist der Release eine Blackbox? Organisationen, die heute segmentieren, aber Build- und Auth-Trust nicht absichern, bleiben verwundbar. Wer früh in verifizierbare Prozesse investiert, schafft zudem bessere Bedingungen für schnelle Incident Response, weil das Risiko einer “Zugangs-Schwarzphase” sinkt und die Bereinigung stärker planbar wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Velvet Ant und REF6138: Zehn Jahre Intrusion über Linux-Zugang und Lieferkette" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Velvet Ant und REF6138: Zehn Jahre Intrusion über Linux-Zugang und Lieferkette" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Velvet Ant und REF6138: Zehn Jahre Intrusion über Linux-Zugang und Lieferkette« bei Google Deutschland suchen, bei Bing oder Google News!