LONDON (IT BOLTWISE) – Eine China-nexus Threat-Group soll über nahezu ein Jahrzehnt unentdeckt geblieben sein, weil sie nicht primär Malware einsetzte, sondern zentrale Linux-Zugangskomponenten wie PAM und OpenSSH veränderte. Sicherheitsforscher berichten, dass dadurch persistenter Zugriff entstand und Anmeldedaten abflossen, ohne gängige Schutzalarme auszulösen. Für Unternehmen bedeutet das: Die härtesten Kontrollen reichen nicht, wenn vertrauenswürdige Authentifizierungsbausteine selbst kompromittiert werden. Der Vorfall zeigt, wie wichtig verifizierbare Integrität und tiefes Monitoring im Linux-Identity-Stack sind.
Wenn Angreifer über Jahre im System bleiben, liegt die Ursache selten in einem einzelnen Exploit, sondern in der Kombination aus guter Tarnung und den richtigen Eintrittspunkten. In diesem Fall beschreiben Analysten eine China-nexus Threat-Group, die als Velvet Ant (Sygnia) bekannt ist und offenbar rund zehn Jahre auf einem Netzwerk operierte. Auffällig ist dabei der Ansatz: Statt auf klassische Schadsoftware mit offensichtlichen Signaturen zu setzen, griff das Kollektiv in den Kern des Linux-Login-Mechanismus ein. Damit wurden Prozesse umgangen, die typischerweise bei Malware oder bekannten IOC-Mustern Alarm auslösen.
Technisch greift der Angriff direkt dort, wo Authentifizierung und Vertrauenslogik zusammenlaufen: beim Zusammenspiel aus PAM (Pluggable Authentication Modules) und OpenSSH. PAM steuert, wie Benutzer authentifiziert, Autorisierungen angewendet und Einträge in Sicherheitsketten verarbeitet werden; OpenSSH stellt die Remote-Zugangswege bereit. Berichte deuten darauf hin, dass die Gruppe „trusted components“ nicht nur missbrauchte, sondern gezielt modifizierte. Der Vorteil für die Angreifer ist strukturell: Solange die manipulierten Module wie legitime Systembestandteile wirken, bleiben Standard-Checks oft wirkungslos, insbesondere wenn Integrität nicht kontinuierlich verifiziert wird.
Aus Marktsicht verschärft die Meldung die Debatte um EDR- und XDR-Strategien, die primär auf Verhaltenssignale oder bekannte Muster setzen. Dienste wie Microsoft Defender for Endpoint oder Lösungen etablierter Anbieter wie CrowdStrike verbessern die Erkennung zwar regelmäßig, stoßen aber an Grenzen, wenn Änderungen im „normalen“ Auth-Stack erfolgen und der Zugriff über reguläre Pfade läuft. Experten berichten deshalb zunehmend, dass Unternehmen zusätzliche Kontrollen brauchen: Baseline-Validierung von Systemmodulen, Signatur- und Hash-Prüfungen für PAM- und SSH-Konfigurationen sowie ein Audit der Dienstkonfigurationen über die Lebenszeit der Hosts hinweg. Gerade in verteilten Linux-Umgebungen kann sonst ein kompromittierter Pfad zur Dauerbaustelle werden.
Historisch zeigt sich das Muster bereits aus früheren Kampagnen: Angriffsketten, die nicht nur Daten stehlen, sondern Identitäts- und Vertrauensmechanismen dauerhaft verändern. Bereits bei früheren APT-Fällen wurde deutlich, dass Authentifizierungsschichten besonders attraktiv sind, weil sie häufig tief verankert, oft hochverfügbar und selten „von Hand“ auditiert werden. Der Unterschied in dieser Beschreibung liegt in der Wahl des Zielbereichs: Der Fokus fällt auf den Login-Mechanismus selbst, sodass die Gruppe Credential Material sammeln und zugleich persistieren konnte. Wie Branchenexperten in Interviews betonen, ist diese Art von Kompromittierung besonders gefährlich, weil sie sowohl lateral movement erleichtert als auch bei Incident-Response zunächst „normal“ wirken kann.
Für die Praxis bedeutet das: Unternehmen sollten den Linux-Identity-Stack als sicherheitskritische Infrastruktur behandeln, nicht als bloße Betriebskomponente. Konkret heißt das, Integritätsprüfung und Konfigurationshygiene in den Betrieb zu verankern, etwa durch regelmäßige Hash-Baselines für PAM-Module, restriktive Dateirechte, nachvollziehbare Deployment-Prozesse und serverseitiges Monitoring von ungewöhnlichen Authentifizierungsverläufen. Ergänzend kommt Log-Korrelation hinzu: erfolgreiche und fehlgeschlagene Logins, Änderungen an Auth-Komponenten sowie ungewöhnliche Muster bei Schlüsselverwendungen sollten gemeinsam bewertet werden. Auch regulatorisch spielt das eine Rolle: Je nach Branche sind Anforderungen an Nachvollziehbarkeit, Zugriffskontrollen und Schutz personenbezogener Daten in der Incident-Logik direkt betroffen.
Der Ausblick ist klar: Angreifer werden häufiger versuchen, sich in die „trusted“ Teile moderner Systeme einzunisten, weil sie damit Erkennung und Reaktion verzögern. In Zukunft werden Integritätsmessungen, Policy-as-Code für Systemkonfigurationen und automatisiertes Drift-Detection für kritische Auth-Pfade an Bedeutung gewinnen. Für Entwickler von Security-Produkten heißt das auch: Modelle sollten nicht nur auf Event-Streams reagieren, sondern gezielt Konfigurationsänderungen und Systemkomponenten-Lifecycle überwachen. Wenn sich der Trend fortsetzt, könnten Unternehmen künftig stärker auf verifizierbare Builds, „known good“-Zustände und schnellere Wiederherstellungsmechanismen setzen, um bei Verdacht nicht nur Accounts zu sperren, sondern den Auth-Stack selbst als Ganzes zurückzusetzen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "China-nexus-Angreifer manipulieren Linux-Login (PAM/OpenSSH) seit rund zehn Jahren" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "China-nexus-Angreifer manipulieren Linux-Login (PAM/OpenSSH) seit rund zehn Jahren" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »China-nexus-Angreifer manipulieren Linux-Login (PAM/OpenSSH) seit rund zehn Jahren« bei Google Deutschland suchen, bei Bing oder Google News!