Was ist passiert?
Eine China-verbundene Hackergruppe, die von Sygnia als „Velvet Ant“ bezeichnet wird, hat sich fast ein Jahrzehnt lang unbemerkt in Linux-Systemen versteckt. Die Angreifer infiltrierten die kritischen PAM- und OpenSSH-Komponenten, die über Benutzeranmeldungen entscheiden, und platzierten ihre Backdoors an Stellen, die durch normale Sicherheitsbereinigungen nicht erreichbar sind.
Hintergrund & Bedeutung
Diese Attacke ist besonders bemerkenswert, da die Hacker nicht auf Laptops oder Servern versteckt blieben, die von Verteidigern üblicherweise intensiv überwacht werden. Stattdessen nisteten sie sich in der Authentifizierungsschicht selbst ein – einer Position mit maximaler Kontrolle und minimaler Erkennungswahrscheinlichkeit. PAM (Pluggable Authentication Modules) und OpenSSH sind Kernkomponenten jedes Linux-Systems und werden von Administratoren oft als vertrauenswürdig vorausgesetzt. Eine Kompromittierung dieser Komponenten ermöglicht unbegrenzte Systemzugriffe und ist extrem schwer zu entdecken.
Empfehlungen für IT-Teams
- Regelmäßige Integrität prüfen: Implementieren Sie File Integrity Monitoring (FIM) für kritische Systemkomponenten wie PAM und OpenSSH.
- Behavioral Monitoring: Setzen Sie auf Überwachung anomaler Authentifizierungsmuster und unerwarteter Privilegienerhöhungen.
- Supply Chain überprüfen: Verifizieren Sie die Authentizität installierter Pakete und nutzen Sie vertrauenswürdige Repositories.
- Regelmäßige Audits: Führen Sie Sicherheitsaudits von Authentifizierungssystemen durch.
- Kernel-Level Monitoring: Erwägen Sie kernel-basierte Sicherheitslösungen zur Erkennung von Backdoors in kritischen Modulen.
Fazit
Diese Kampagne zeigt, dass Angreifer gezielt in die am wenigsten verdächten Orte eindringen. Organisationen müssen ihre Überwachung auf tiefere Systemebenen ausweiten und kritische Komponenten verstärkt schützen.
Quelle: Original Artikel