Neuer Linux-Backdoor “Plague” bedroht kritische Systeme

LONDON (IT BOLTWISE) – Eine neu entdeckte Bedrohung in Form eines Linux-Backdoors namens “Plague” hat die Aufmerksamkeit von Cybersicherheitsexperten auf sich gezogen. Diese Malware nutzt eine bösartige Pluggable Authentication Module (PAM), um unbemerkt Zugang zu kritischen Systemen zu erlangen.

Die Cybersicherheitsforschung hat einen neuen Linux-Backdoor namens “Plague” identifiziert, der sich über ein Jahr lang der Entdeckung entzogen hat. Diese Malware ist als bösartiges Pluggable Authentication Module (PAM) konzipiert, das es Angreifern ermöglicht, die Systemauthentifizierung zu umgehen und dauerhaften SSH-Zugang zu erhalten. PAM-Module sind eine Suite von gemeinsam genutzten Bibliotheken, die zur Verwaltung der Benutzerauthentifizierung in Linux- und UNIX-basierten Systemen verwendet werden. Ein bösartiges PAM kann daher den Diebstahl von Benutzeranmeldeinformationen ermöglichen, Authentifizierungsprüfungen umgehen und von Sicherheitstools unentdeckt bleiben.

Die Cybersicherheitsfirma Nextron Systems hat mehrere Plague-Artefakte auf VirusTotal entdeckt, die seit dem 29. Juli 2024 hochgeladen wurden, ohne dass sie von Antiviren-Engines als bösartig erkannt wurden. Die Existenz mehrerer Proben deutet auf eine aktive Entwicklung der Malware durch unbekannte Bedrohungsakteure hin. Plague verfügt über vier herausragende Merkmale: Statische Anmeldeinformationen für verdeckten Zugang, Widerstand gegen Analyse und Reverse Engineering durch Anti-Debugging und String-Obfuskation sowie verbesserte Tarnung durch das Löschen von SSH-Sitzungsnachweisen.

Diese Tarnung wird durch das Entfernen von Umgebungsvariablen wie SSH_CONNECTION und SSH_CLIENT mittels unsetenv und das Umleiten von HISTFILE auf /dev/null erreicht, um die Protokollierung von Shell-Befehlen zu verhindern und keine Spuren zu hinterlassen. “Plague integriert sich tief in den Authentifizierungsstapel, übersteht Systemupdates und hinterlässt fast keine forensischen Spuren”, bemerkte Pierre-Henri Pezier von Nextron Systems. “In Kombination mit geschichteter Obfuskation und Manipulation der Umgebung macht dies die Erkennung mit traditionellen Werkzeugen außergewöhnlich schwierig.”

Die Bedrohung durch Plague zeigt, wie wichtig es ist, die Sicherheitsmaßnahmen in Linux-Systemen kontinuierlich zu überprüfen und zu aktualisieren. Unternehmen sollten sicherstellen, dass ihre Systeme regelmäßig auf Anzeichen von Kompromittierung überprüft werden und dass alle PAM-Module aus vertrauenswürdigen Quellen stammen. Die Entdeckung von Plague unterstreicht die Notwendigkeit einer verstärkten Wachsamkeit und der Implementierung fortschrittlicher Sicherheitslösungen, um der sich ständig weiterentwickelnden Bedrohungslandschaft zu begegnen.

In der Vergangenheit haben ähnliche Bedrohungen gezeigt, dass Angreifer zunehmend raffinierte Methoden entwickeln, um Sicherheitsbarrieren zu umgehen. Die Fähigkeit von Plague, sich tief in die Systemarchitektur einzugraben und nahezu unsichtbar zu bleiben, stellt eine erhebliche Herausforderung für IT-Sicherheitsteams dar. Dies erfordert nicht nur technologische Lösungen, sondern auch eine verstärkte Schulung und Sensibilisierung der Mitarbeiter für potenzielle Sicherheitsrisiken.

Die Zukunft der Cybersicherheit wird zunehmend von der Fähigkeit abhängen, solche Bedrohungen frühzeitig zu erkennen und zu neutralisieren. Die Entwicklung von Plague könnte als Weckruf für die Branche dienen, die Notwendigkeit von Innovationen in der Sicherheitsarchitektur zu erkennen und proaktive Maßnahmen zu ergreifen, um die Integrität kritischer Systeme zu schützen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!