Forscher von ESET haben einen 43-seitigen Bericht zur Analyse des Rootkits Ebury und der damit verbundenen Aktivitäten veröffentlicht. Es wird behauptet, dass Ebury seit 2009 eingesetzt wird und seitdem auf mehr als 400.000 Linux-Servern sowie mehreren hundert Systemen mit FreeBSD, OpenBSD und Solaris installiert wurde. Bis Ende 2023 blieben etwa 110.000 Server von Ebury betroffen. Die Untersuchung ist besonders interessant, da Ebury bei einem Angriff auf kernel.org eingesetzt wurde, was einige neue Details zur Kompromittierung der Infrastruktur der Linux-Kernel-Entwicklung offenbart, die 2011 entdeckt wurde. Ebury wurde auch auf Servern von Domainregistrierern, Krypto-Börsen, Exit-Knoten des Tor-Netzwerks und bei mehreren von Hosting-Anbietern, deren Namen nicht genannt werden.
Ursprünglich wurde angenommen, dass die Angreifer Server von kernel.org 17 Tage unentdeckt blieben, aber laut ESET wurde diese Zeit ab dem Zeitpunkt der Installation des Rootkits Phalanx berechnet, während das Backdoor Ebury seit 2009 auf den Servern war und etwa zwei Jahre verwendet werden konnte, um Root-Zugriff auf die Server zu erhalten. Die Malware Ebury und Phalanx wurden im Rahmen verschiedener Angriffe installiert, die nicht ineinander übergingen und von verschiedenen Gruppen von Angreifern durchgeführt wurden. Die Einspeisung des Backdoors Ebury betraf mindestens 4 Server der Infrastruktur von kernel.org, von denen zwei über einen Zeitraum von etwa zwei Jahren betroffen waren und die anderen zwei innerhalb von 6 Monaten.
Die Angreifer erhielten Zugriff auf die in /etc/shadow gespeicherten Passwort-Hashes von 551 Benutzern, darunter alle Maintainer des Kernels (die Konten wurden zum Zugriff auf Git verwendet; nach dem Vorfall wurden die Passwörter ersetzt, und das Zugriffsmodell wurde überarbeitet und auf die Verwendung digitaler Signaturen umgestellt). Bei 257 Benutzern gelang es den Angreifern, die Passwörter im Klartext zu erfassen, vermutlich durch Brute-Force-Angriffe auf die Hashes und durch Abfangen von Passwörtern, die von der Malware Ebury in SSH verwendet wurden.
Die bösartige Komponente Ebury verbreitete sich als Shareable-Bibliothek, die nach der Installation Funktionen von OpenSSH abfing, um eine Remote-Verbindung mit Root-Rechten zum System herzustellen. Der Angriff war nicht gezielt, und wie viele andere betroffene Tausende von Hosts wurden die Server kernel.org als Teil eines Botnets zum Versenden von Spam, Stehlen von Anmeldedaten zur Verbreitung auf anderen Systemen, Umleiten von Webverkehr und zur Durchführung anderer bösartiger Aktivitäten verwendet.
Um in die Server einzudringen, wurden ungepatchte Sicherheitsanfälligkeiten in der Server-Software, wie Schwachstellen in Hosting-Panels oder abgefangene Passwörter, genutzt (es wird vermutet, dass die Server kernel.org aufgrund der Kompromittierung eines Passworts eines Benutzers mit Shell-Zugriff gehackt wurden). Für die Erhöhung der Berechtigungen wurden Schwachstellen wie Dirty COW ausgenutzt.
Die in den letzten Jahren verwendeten neuen Versionen von Ebury beinhalteten neben dem Backdoor Funktionen wie Module für Apache httpd zur Proxysierung von Verkehr, zum Umleiten von Benutzern und zum Abfangen sensibler Informationen, ein Kernelmodul zur Modifizierung des Transit-HTTP-Verkehrs, Werkzeuge zum Verbergen des eigenen Verkehrs vor Firewalls sowie Skripte zur Durchführung von AitM-Angriffen (Adversary-in-the-Middle, bidirektionales MiTM), um SSH-Anmeldedaten in Netzwerken von Hosting-Anbietern abzufangen.
Quelle: opennet.ru
