Sicherheitslücke in SAP NetWeaver: Angriff auf Linux-Systeme mit Auto-Color-Malware

LONDON (IT BOLTWISE) – Eine kürzlich entdeckte Sicherheitslücke in SAP NetWeaver hat es Cyberkriminellen ermöglicht, Linux-Systeme mit der Auto-Color-Malware zu infizieren. Diese Schwachstelle, die mittlerweile von SAP behoben wurde, wurde in einem gezielten Angriff auf ein US-amerikanisches Chemieunternehmen ausgenutzt.

Im April 2025 wurde eine kritische Sicherheitslücke in SAP NetWeaver von Cyberkriminellen ausgenutzt, um die Auto-Color-Malware auf Linux-Systemen zu installieren. Diese Schwachstelle, bekannt als CVE-2025-31324, ermöglichte es Angreifern, ohne Authentifizierung Dateien hochzuladen und so Remote-Code-Ausführung zu betreiben. Obwohl SAP diese Lücke bereits im April geschlossen hat, zeigt der Vorfall, wie wichtig es ist, Sicherheitsupdates zeitnah zu implementieren.

Die Auto-Color-Malware, die erstmals von Palo Alto Networks Unit 42 im Februar 2025 dokumentiert wurde, agiert ähnlich wie ein Remote-Access-Trojaner. Sie ermöglicht den Angreifern, aus der Ferne auf kompromittierte Linux-Hosts zuzugreifen. Zwischen November und Dezember 2024 wurde diese Malware bereits in Angriffen auf Universitäten und Regierungsorganisationen in Nordamerika und Asien beobachtet.

Ein bemerkenswertes Merkmal von Auto-Color ist seine Fähigkeit, bösartiges Verhalten zu verbergen, wenn keine Verbindung zu seinem Command-and-Control-Server hergestellt werden kann. Diese Tarnung soll die Erkennung durch Sicherheitssysteme erschweren und den Eindruck erwecken, dass die Software harmlos ist. Zu den Funktionen der Malware gehören unter anderem die Erstellung und Ausführung von Dateien, die Konfiguration von Systemproxies und die Manipulation globaler Payloads.

Der Angriff auf das US-amerikanische Chemieunternehmen wurde von Darktrace entdeckt, als am 28. April ein verdächtiges ELF-Binärprogramm auf einem internetfähigen Gerät heruntergeladen wurde, das wahrscheinlich SAP NetWeaver ausführte. Erste Anzeichen von Scan-Aktivitäten wurden bereits drei Tage zuvor festgestellt. Die Angreifer nutzten die Schwachstelle CVE-2025-31324, um einen zweiten Angriffsschritt einzuleiten, der die Kompromittierung des internetfähigen Geräts und den Download der Auto-Color-Malware beinhaltete.

Von der ersten Infiltration bis zur fehlgeschlagenen Etablierung der C2-Kommunikation zeigte die Auto-Color-Malware ein tiefes Verständnis der Linux-Interna und eine gezielte Zurückhaltung, um die Entdeckung zu minimieren. Diese Strategie unterstreicht die Raffinesse der Angreifer und die Notwendigkeit, Sicherheitsmaßnahmen kontinuierlich zu verbessern.

Die Auswirkungen solcher Angriffe sind weitreichend, da sie nicht nur die betroffenen Unternehmen gefährden, sondern auch das Vertrauen in die Sicherheit von Unternehmenssoftware wie SAP NetWeaver untergraben. Experten betonen die Bedeutung von regelmäßigen Sicherheitsüberprüfungen und der Implementierung von Patches, um derartige Bedrohungen zu verhindern.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!