{"id":115822,"date":"2024-05-16T08:59:20","date_gmt":"2024-05-16T06:59:20","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ssh-bekdor-ustanovlennyj-pri-vzlome-kernel-org-dva-goda-ostavalsya-nezamechennym"},"modified":"2024-05-16T08:59:20","modified_gmt":"2024-05-16T06:59:20","slug":"ssh-bekdor-ustanovlennyj-pri-vzlome-kernel-org-dva-goda-ostavalsya-nezamechennym","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/ssh-bekdor-ustanovlennyj-pri-vzlome-kernel-org-dva-goda-ostavalsya-nezamechennym","title":{"rendered":"Der SSH-Backdoor, der bei der Kompromittierung von kernel.org installiert wurde, blieb zwei Jahre lang unbemerkt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Forscher von ESET haben einen 43-seitigen Bericht ver\u00f6ffentlicht, der eine Analyse des Rootkits Ebury und damit verbundener Aktivit\u00e4ten beinhaltet. Es wird behauptet, dass Ebury seit 2009 eingesetzt wird und seither auf mehr als 400.000 Servern mit Linux und mehreren hundert Systemen basierend auf FreeBSD, OpenBSD und Solaris installiert wurde. Etwa 110.000 Server waren bis Ende 2023 von Ebury betroffen. Die Studie ist besonders interessant, da Ebury bei einem Angriff auf kernel.org eingesetzt wurde, was einige neue Details \u00fcber die Kompromittierung der Infrastruktur der Linux-Entwicklung offenbart, die 2011 entdeckt wurde. Ebury wurde auch auf Servern von Domain-Registraren, Krypto-B\u00f6rsen, Exit-Knoten im Tor-Netzwerk und bei mehreren Hosting-Anbieter<\/a>, deren Namen nicht genannt werden. <\/p>\n

Urspr\u00fcnglich wurde angenommen, dass die Angreifer Server<\/a> Die Angreifer hatten 17 Tage lang unbemerkt Zugriff auf kernel.org, wobei ESET angibt, dass dieser Zeitraum ab der Einf\u00fchrung des Phalanx-Rootkits berechnet wird. Der Ebury-Hintert\u00fcrzugriff besteht jedoch seit 2009 auf den Servern und konnte etwa zwei Jahre lang f\u00fcr den Root-Zugriff genutzt werden. Die Malware Ebury und Phalanx wurde im Rahmen unterschiedlicher Angriffe eingesetzt, die nicht miteinander verbunden sind und von verschiedenen Gruppen von Angreifern durchgef\u00fchrt wurden. Die Implementierung der Ebury-Hintert\u00fcr betraf mindestens 4 Server in der Infrastruktur von kernel.org, wobei zwei davon etwa zwei Jahre lang kompromittiert waren und die anderen beiden - \u00fcber einen Zeitraum von 6 Monaten. <\/p>\n

Die Angreifer erlangten Zugriff auf die Passwort-Hashes von 551 Benutzern in \/etc\/shadow, darunter alle Maintainer des Kernels (diese Konten wurden f\u00fcr den Zugriff auf Git verwendet; nach dem Vorfall wurden die Passw\u00f6rter ge\u00e4ndert, und das Zugriffsmodell wurde \u00fcberarbeitet und auf digitale Signaturen umgestellt). Bei 257 Benutzern gelang es den Angreifern, die Passw\u00f6rter im Klartext zu ermitteln, vermutlich durch das Knacken der Passw\u00f6rter basierend auf den Hashes und durch den Abfang von Passw\u00f6rtern, die \u00fcber das Schadprogramm Ebury im SSH verwendet wurden. <\/p>\n

Die b\u00f6sartige Komponente Ebury wurde als gemeinsam genutzte Bibliothek verbreitet, die nach der Installation Funktionen abfing, die in OpenSSH verwendet werden, um eine remote Verbindung zum System mit Root-Rechten herzustellen. Der Angriff war nicht zielgerichtet und wie bei anderen betroffenen tausenden Hosts wurden die Server von kernel.org als Teil eines Botnetzes verwendet, um Spam zu versenden, Anmeldedaten zu stehlen, um auf anderen Systemen weiterverbreitet zu werden, Web-Traffic umzuleiten und andere b\u00f6sartige Aktivit\u00e4ten durchzuf\u00fchren. <\/p>\n

Um sich Zugang zu den Servern zu verschaffen, wurden unpatched Schwachstellen in der Server-Software ausgenutzt, wie zum Beispiel Schwachstellen in Hosting-Panels, oder abgefangene Passw\u00f6rter (es wird angenommen, dass die Server von kernel.org aufgrund der Kompromittierung eines Passworts eines Benutzers mit Shell-Zugriff gehackt wurden). Zur Privilegiensteigerung wurden Schwachstellen wie Dirty COW verwendet. <\/p>\n

Die in den letzten Jahren verwendeten neuen Versionen von Ebury beinhalteten neben der Hintert\u00fcr Funktionen wie Module f\u00fcr Apache httpd zur Traffic-Proxierung, Benutzerumleitungen und das Abfangen sensibler Daten, ein Kernel-Modul zur Manipulation des Transit-HTTP-Traffics, Werkzeuge zum Verstecken des eigenen Traffics vor Firewalls sowie Skripte zur Durchf\u00fchrung von AitM-Attacken (Adversary-in-the-Middle, bidirektionaler MiTM) zur Abfangung von SSH-Anmeldeinformationen in Netzwerken von Hosting-Anbietern.

\"Der<\/center>
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 ESET \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0438 43-\u0441\u0442\u0440\u0430\u043d\u0438\u0447\u043d\u044b\u0439 \u043e\u0442\u0447\u0451\u0442 \u0441 \u0430\u043d\u0430\u043b\u0438\u0437\u043e\u043c \u0440\u0443\u0442\u043a\u0438\u0442\u0430 Ebury \u0438 \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u043e\u0439 \u0441 \u043d\u0438\u043c \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438. \u0423\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e Ebury \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u0442\u0441\u044f \u0441 2009 \u0433\u043e\u0434\u0430 \u0438 \u0441 \u0442\u0435\u0445 \u043f\u043e\u0440 \u0431\u044b\u043b \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d \u043d\u0430 \u0431\u043e\u043b\u0435\u0435 \u0447\u0435\u043c 400 \u0442\u044b\u0441\u044f\u0447 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u043f\u043e\u0434 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435\u043c Linux \u0438 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0441\u043e\u0442\u0435\u043d \u0441\u0438\u0441\u0442\u0435\u043c \u043d\u0430 \u0431\u0430\u0437\u0435 FreeBSD, OpenBSD \u0438 Solaris. \u041e\u043a\u043e\u043b\u043e 110 \u0442\u044b\u0441\u044f\u0447 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u043e\u0441\u0442\u0430\u0432\u0430\u043b\u0438\u0441\u044c \u043f\u043e\u0440\u0430\u0436\u0435\u043d\u044b Ebury […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":115823,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-115822","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Der SSH-Baackbar, der beim Hack von kernel.org installiert wurde, blieb zwei Jahre lang unbemerkt | ProHoster","description":"Forschern von ESET ist es gelungen, einen 43-seitigen Bericht \u00fcber die Analyse des Ebury-Rootkits und der damit verbundenen Aktivit\u00e4ten zu ver\u00f6ffentlichen. Es wird behauptet, dass Ebury seit 2009 im Einsatz ist und seitdem auf \u00fcber 400.000 Linux-Servern und mehreren Hundert Systemen basierend auf FreeBSD, OpenBSD und Solaris installiert wurde. Etwa 110.000 Server sind weiterhin von Ebury betroffen.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/ssh-bekdor-ustanovlennyj-pri-vzlome-kernel-org-dva-goda-ostavalsya-nezamechennym","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47SSH-\u0431\u044d\u043a\u0434\u043e\u0440, \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0439 \u043f\u0440\u0438 \u0432\u0437\u043b\u043e\u043c\u0435 kernel.org, \u0434\u0432\u0430 \u0433\u043e\u0434\u0430 \u043e\u0441\u0442\u0430\u0432\u0430\u043b\u0441\u044f \u043d\u0435\u0437\u0430\u043c\u0435\u0447\u0435\u043d\u043d\u044b\u043c | ProHoster","og:description":"\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 ESET \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0438 43-\u0441\u0442\u0440\u0430\u043d\u0438\u0447\u043d\u044b\u0439 \u043e\u0442\u0447\u0451\u0442 \u0441 \u0430\u043d\u0430\u043b\u0438\u0437\u043e\u043c \u0440\u0443\u0442\u043a\u0438\u0442\u0430 Ebury \u0438 \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u043e\u0439 \u0441 \u043d\u0438\u043c \u0430\u043a\u0442\u0438\u0432\u043d\u043e\u0441\u0442\u0438. \u0423\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e Ebury \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u0442\u0441\u044f \u0441 2009 \u0433\u043e\u0434\u0430 \u0438 \u0441 \u0442\u0435\u0445 \u043f\u043e\u0440 \u0431\u044b\u043b \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d \u043d\u0430 \u0431\u043e\u043b\u0435\u0435 \u0447\u0435\u043c 400 \u0442\u044b\u0441\u044f\u0447 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u043f\u043e\u0434 \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435\u043c Linux \u0438 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0441\u043e\u0442\u0435\u043d \u0441\u0438\u0441\u0442\u0435\u043c \u043d\u0430 \u0431\u0430\u0437\u0435 FreeBSD, OpenBSD \u0438 Solaris. \u041e\u043a\u043e\u043b\u043e 110 \u0442\u044b\u0441\u044f\u0447 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 \u043e\u0441\u0442\u0430\u0432\u0430\u043b\u0438\u0441\u044c \u043f\u043e\u0440\u0430\u0436\u0435\u043d\u044b Ebury","og:url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/ssh-bekdor-ustanovlennyj-pri-vzlome-kernel-org-dva-goda-ostavalsya-nezamechennym","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2024-05-16T06:59:20+00:00","article:modified_time":"2024-05-16T06:59:20+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"115822","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-09 17:22:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-01-23 00:28:19","updated":"2026-02-09 17:22:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/115822","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=115822"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/115822\/revisions"}],"predecessor-version":[{"id":159151,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/115822\/revisions\/159151"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/115823"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=115822"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=115822"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=115822"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}