{"id":115822,"date":"2024-05-16T08:59:20","date_gmt":"2024-05-16T06:59:20","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ssh-bekdor-ustanovlennyj-pri-vzlome-kernel-org-dva-goda-ostavalsya-nezamechennym"},"modified":"2024-05-16T08:59:20","modified_gmt":"2024-05-16T06:59:20","slug":"ssh-bekdor-ustanovlennyj-pri-vzlome-kernel-org-dva-goda-ostavalsya-nezamechennym","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/ssh-bekdor-ustanovlennyj-pri-vzlome-kernel-org-dva-goda-ostavalsya-nezamechennym","title":{"rendered":"Der bei dem Hack von kernel.org installierte SSH-Backdoor blieb zwei Jahre lang unentdeckt","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Forscher von ESET haben einen 43-seitigen Bericht zur Analyse des Rootkits Ebury und der damit verbundenen Aktivit\u00e4ten ver\u00f6ffentlicht. Es wird behauptet, dass Ebury seit 2009 eingesetzt wird und seitdem auf mehr als 400.000 Linux-Servern sowie mehreren hundert Systemen mit FreeBSD, OpenBSD und Solaris installiert wurde. Bis Ende 2023 blieben etwa 110.000 Server von Ebury betroffen. Die Untersuchung ist besonders interessant, da Ebury bei einem Angriff auf kernel.org eingesetzt wurde, was einige neue Details zur Kompromittierung der Infrastruktur der Linux-Kernel-Entwicklung offenbart, die 2011 entdeckt wurde. Ebury wurde auch auf Servern von Domainregistrierern, Krypto-B\u00f6rsen, Exit-Knoten des Tor-Netzwerks und bei mehreren von Hosting-Anbietern<\/a>, deren Namen nicht genannt werden. <\/p>\n

Urspr\u00fcnglich wurde angenommen, dass die Angreifer Server<\/a> Die Angreifer von kernel.org blieben 17 Tage unbemerkte, jedoch sind laut ESET diese Zeitr\u00e4ume ab dem Zeitpunkt der Installation des Phalanx-Rootkits berechnet. Der Ebury-Backdoor war jedoch bereits seit 2009 auf den Servern und konnte etwa zwei Jahre lang f\u00fcr root-Zugriffe auf die Server genutzt werden. Die Malware Ebury und Phalanx wurde im Rahmen verschiedener, voneinander unabh\u00e4ngiger Angriffe durch unterschiedliche Gruppen von Angreifern installiert. Die Implementierung des Ebury-Backdoors betraf mindestens 4 Server in der Infrastruktur von kernel.org, von denen zwei etwa zwei Jahre lang kompromittiert waren, w\u00e4hrend die anderen beiden - \u00fcber einen Zeitraum von 6 Monaten. <\/p>\n

Die Angreifer erhielten Zugriff auf die in \/etc\/shadow gespeicherten Passwort-Hashes von 551 Benutzern, darunter alle Maintainer des Kernels (die Konten wurden zum Zugriff auf Git verwendet; nach dem Vorfall wurden die Passw\u00f6rter ersetzt, und das Zugriffsmodell wurde \u00fcberarbeitet und auf die Verwendung digitaler Signaturen umgestellt). Bei 257 Benutzern gelang es den Angreifern, die Passw\u00f6rter im Klartext zu erfassen, vermutlich durch Brute-Force-Angriffe auf die Hashes und durch Abfangen von Passw\u00f6rtern, die von der Malware Ebury in SSH verwendet wurden. <\/p>\n

Die b\u00f6sartige Komponente Ebury verbreitete sich als Shareable-Bibliothek, die nach der Installation Funktionen von OpenSSH abfing, um eine Remote-Verbindung mit Root-Rechten zum System herzustellen. Der Angriff war nicht gezielt, und wie viele andere betroffene Tausende von Hosts wurden die Server kernel.org als Teil eines Botnets zum Versenden von Spam, Stehlen von Anmeldedaten zur Verbreitung auf anderen Systemen, Umleiten von Webverkehr und zur Durchf\u00fchrung anderer b\u00f6sartiger Aktivit\u00e4ten verwendet. <\/p>\n

Um in die Server einzudringen, wurden ungepatchte Sicherheitsanf\u00e4lligkeiten in der Server-Software, wie Schwachstellen in Hosting-Panels oder abgefangene Passw\u00f6rter, genutzt (es wird vermutet, dass die Server kernel.org aufgrund der Kompromittierung eines Passworts eines Benutzers mit Shell-Zugriff gehackt wurden). F\u00fcr die Erh\u00f6hung der Berechtigungen wurden Schwachstellen wie Dirty COW ausgenutzt. <\/p>\n

Die in den letzten Jahren verwendeten neuen Versionen von Ebury beinhalteten neben dem Backdoor Funktionen wie Module f\u00fcr Apache httpd zur Proxysierung von Verkehr, zum Umleiten von Benutzern und zum Abfangen sensibler Informationen, ein Kernelmodul zur Modifizierung des Transit-HTTP-Verkehrs, Werkzeuge zum Verbergen des eigenen Verkehrs vor Firewalls sowie Skripte zur Durchf\u00fchrung von AitM-Angriffen (Adversary-in-the-Middle, bidirektionales MiTM), um SSH-Anmeldedaten in Netzwerken von Hosting-Anbietern abzufangen.

\"Der<\/center>
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 ESET \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0438 43-\u0441\u0442\u0440\u0430\u043d\u0438\u0447\u043d\u044b\u0439 \u043e\u0442\u0447\u0451\u0442 \u0441 \u0430\u043d\u0430\u043b\u0438\u0437\u043e\u043c \u0440\u0443\u0442\u043a\u0438\u0442\u0430 Ebury \u0438 \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u043e\u0439 \u0441 \u043d\u0438\u043c \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438. \u0423\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e Ebury \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u0442\u0441\u044f \u0441 2009 \u0433\u043e\u0434\u0430 \u0438 \u0441 \u0442\u0435\u0445 \u043f\u043e\u0440 \u0431\u044b\u043b \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d \u043d\u0430 \u0431\u043e\u043b\u0435\u0435 \u0447\u0435\u043c 400 \u0442\u044b\u0441\u044f\u0447 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u043f\u043e\u0434 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435\u043c Linux \u0438 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0441\u043e\u0442\u0435\u043d \u0441\u0438\u0441\u0442\u0435\u043c \u043d\u0430 \u0431\u0430\u0437\u0435 FreeBSD, OpenBSD \u0438 Solaris. \u041e\u043a\u043e\u043b\u043e 110 \u0442\u044b\u0441\u044f\u0447 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u043e\u0441\u0442\u0430\u0432\u0430\u043b\u0438\u0441\u044c \u043f\u043e\u0440\u0430\u0436\u0435\u043d\u044b Ebury […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":115823,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-115822","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47SSH-Backdoor, die beim Hack von kernel.org installiert wurde, blieb zwei Jahre unentdeckt | ProHoster","description":"Forscher von ESET ver\u00f6ffentlichten einen 43-seitigen Bericht mit einer Analyse des Rootkits Ebury und der damit verbundenen Aktivit\u00e4ten.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/ssh-bekdor-ustanovlennyj-pri-vzlome-kernel-org-dva-goda-ostavalsya-nezamechennym","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47SSH-\u0431\u044d\u043a\u0434\u043e\u0440, \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0439 \u043f\u0440\u0438 \u0432\u0437\u043b\u043e\u043c\u0435 kernel.org, \u0434\u0432\u0430 \u0433\u043e\u0434\u0430 \u043e\u0441\u0442\u0430\u0432\u0430\u043b\u0441\u044f \u043d\u0435\u0437\u0430\u043c\u0435\u0447\u0435\u043d\u043d\u044b\u043c | ProHoster","og:description":"\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 ESET \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0438 43-\u0441\u0442\u0440\u0430\u043d\u0438\u0447\u043d\u044b\u0439 \u043e\u0442\u0447\u0451\u0442 \u0441 \u0430\u043d\u0430\u043b\u0438\u0437\u043e\u043c \u0440\u0443\u0442\u043a\u0438\u0442\u0430 Ebury \u0438 \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u043e\u0439 \u0441 \u043d\u0438\u043c \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438.","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/ssh-bekdor-ustanovlennyj-pri-vzlome-kernel-org-dva-goda-ostavalsya-nezamechennym","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2024-05-16T06:59:20+00:00","article:modified_time":"2024-05-16T06:59:20+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"115822","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-09 17:22:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-01-23 00:28:19","updated":"2026-02-09 17:22:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/115822","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=115822"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/115822\/revisions"}],"predecessor-version":[{"id":159151,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/115822\/revisions\/159151"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/115823"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=115822"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=115822"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=115822"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}