Forscher von ESET haben einen 43-seitigen Bericht veröffentlicht, der eine Analyse des Rootkits Ebury und damit verbundener Aktivitäten beinhaltet. Es wird behauptet, dass Ebury seit 2009 eingesetzt wird und seither auf mehr als 400.000 Servern mit Linux und mehreren hundert Systemen basierend auf FreeBSD, OpenBSD und Solaris installiert wurde. Etwa 110.000 Server waren bis Ende 2023 von Ebury betroffen. Die Studie ist besonders interessant, da Ebury bei einem Angriff auf kernel.org eingesetzt wurde, was einige neue Details über die Kompromittierung der Infrastruktur der Linux-Entwicklung offenbart, die 2011 entdeckt wurde. Ebury wurde auch auf Servern von Domain-Registraren, Krypto-Börsen, Exit-Knoten im Tor-Netzwerk und bei mehreren Hosting-Anbieter, deren Namen nicht genannt werden.
Ursprünglich wurde angenommen, dass die Angreifer Server Angreifer konnten 17 Tage lang unentdeckt bei kernel.org bleiben. Laut ESET bezieht sich diese Zeitspanne jedoch auf den Zeitpunkt der Installation des Phalanx-Ratbetrügers, während der Ebury-Hintertür bereits seit 2009 auf den Servern installiert war und etwa zwei Jahre lang für den Zugang zu Root-Rechten auf den Servern verwendet werden konnte. Die Malware Ebury und Phalanx wurden im Rahmen verschiedener, nicht miteinander verbundener Angriffe von unterschiedlichen Gruppen von Cyberkriminellen installiert. Die Einführung der Ebury-Hintertür betraf mindestens 4 Server in der Infrastruktur von kernel.org, wobei zwei davon ungefähr zwei Jahre lang betroffen waren und die anderen beiden etwa 6 Monate lang.
Die Angreifer erlangten Zugriff auf die Passwort-Hashes von 551 Benutzern in /etc/shadow, darunter alle Maintainer des Kernels (diese Konten wurden für den Zugriff auf Git verwendet; nach dem Vorfall wurden die Passwörter geändert, und das Zugriffsmodell wurde überarbeitet und auf digitale Signaturen umgestellt). Bei 257 Benutzern gelang es den Angreifern, die Passwörter im Klartext zu ermitteln, vermutlich durch das Knacken der Passwörter basierend auf den Hashes und durch den Abfang von Passwörtern, die über das Schadprogramm Ebury im SSH verwendet wurden.
Die bösartige Komponente Ebury wurde als gemeinsam genutzte Bibliothek verbreitet, die nach der Installation Funktionen abfing, die in OpenSSH verwendet werden, um eine remote Verbindung zum System mit Root-Rechten herzustellen. Der Angriff war nicht zielgerichtet und wie bei anderen betroffenen tausenden Hosts wurden die Server von kernel.org als Teil eines Botnetzes verwendet, um Spam zu versenden, Anmeldedaten zu stehlen, um auf anderen Systemen weiterverbreitet zu werden, Web-Traffic umzuleiten und andere bösartige Aktivitäten durchzuführen.
Um sich Zugang zu den Servern zu verschaffen, wurden unpatched Schwachstellen in der Server-Software ausgenutzt, wie zum Beispiel Schwachstellen in Hosting-Panels, oder abgefangene Passwörter (es wird angenommen, dass die Server von kernel.org aufgrund der Kompromittierung eines Passworts eines Benutzers mit Shell-Zugriff gehackt wurden). Zur Privilegiensteigerung wurden Schwachstellen wie Dirty COW verwendet.
Die in den letzten Jahren verwendeten neuen Versionen von Ebury beinhalteten neben der Hintertür Funktionen wie Module für Apache httpd zur Traffic-Proxierung, Benutzerumleitungen und das Abfangen sensibler Daten, ein Kernel-Modul zur Manipulation des Transit-HTTP-Traffics, Werkzeuge zum Verstecken des eigenen Traffics vor Firewalls sowie Skripte zur Durchführung von AitM-Attacken (Adversary-in-the-Middle, bidirektionaler MiTM) zur Abfangung von SSH-Anmeldeinformationen in Netzwerken von Hosting-Anbietern.
Quelle: opennet.ru
