Eset entdeckt 21 neue Malware-Familien für Linux

Der Sicherheitsanbieter Eset hat Details zu 21 neuen Malware-Familien veröffentlicht, die für Linux-Betriebssysteme entwickelt wurden. Den Forschern zufolge haben sie eine Gemeinsamkeit: es handelt sich stets im schädliche Versionen des OpenSSH-Clients, die um Trojaner-Funktionen erweitert wurden.

Entwickelt wurden sie offenbar, um den Aufbau von Botnetzen zu ermöglichen. Sie kommen zum Einsatz, nachdem es Angreifern bereits gelungen ist, ein Linux-System – üblicherweise einen Server – zu kompromittieren. Anschließend soll die legitime OpenSSH-Installation durch eine schädliche ersetzt werden.

Bei 18 der 21 Familien entdeckte Eset Funktionen, die den Diebstahl von Passwörtern ermöglichen. 17 Familien sollen in der Lage sein, eine Hintertür einzurichten, um den Angreifern einen dauerhaften und zugleich unbemerkten Zugang zu dem kompromittierten System zu verschaffen.

Eset räumt ein, dass der Ruhm für die Entdeckung der neuen Malware-Familien eigentlich den Hintermännern des Windigo-Botnets zusteht. Bei der Untersuchung dieses Botnets und der zugehörigen Backdoor Ebury stellte Eset fest, dass Ebury auf infizierten Systemen nach weiteren lokalen OpenSSH-Backdoors konkurrierender Malware-Autoren sucht.

Das dafür benutzte Perl-Skript enthielt Signaturen von insgesamt 40 Dateien. „Als wir uns diese Signaturen angeschaut haben, stellten wir schnell fest, dass wir für die meisten der in dem Skript beschriebenen Hintertüren keine passenden Muster hatten“, erklärte Marc-Etienne M. Léveillé, Malware-Analyst bei Eset. „Die Malware-Betreiber hatten tatsächlich mehr Wissen und Einsichten über im Umlauf befindliche SSH-Hintertüren als wird.“

Es habe mehrere Jahre gedauert, um die 21 neuen Malware-Familien für Linux aufzuspüren, heißt es in dem 53-seitigen Bericht (PDF) der Forscher. Einige der Familie seien sehr einfach gehalten, andere wiederum sehr komplex und offenbar die Arbeit von erfahrenen Malware-Entwicklern.

Wie die beschriebenen OpenSSH-Schädlinge in ein System eingeschleust werden, lässt der Bericht offen. In der Regel versuchen Angreifer jedoch, Passwörter mithilfe von Brute-Force- oder Wörterbuch-Angriffen zu knacken und Schwachstellen in Anwendungen auszunutzen, die auf einem Linux-Server installiert sind – wie beispielsweise unsichere Plug-ins in Content-Management-Systemen.