Groot aantal Duitse Linuxservers met rootkit geïnfecteerd
Een groot aantal Duitse Linuxservers is met de Ebury-rootkit geïnfecteerd, zo waarschuwt de Duitse overheid. Ebury is een SSH-rootkit die een backdoor op besmette servers opent. De malware kan Linux en Unix-achtige systemen infecteren en is al een aantal maanden actief.
Infecties zouden onder andere plaatsvinden via aanvallen op beveiligingslekken die niet door de beheerders zijn gepatcht. Eenmaal actief op de server steelt de rootkit inloggegevens en stuurt die naar de aanvaller. Het gaat dan onder andere om wachtwoorden en gebruikersnamen voor SSH-verbindingen, alsmede SSH-privésleutels, waarmee de aanvallers ook toegang tot andere systemen krijgen.
Wereldwijd zouden er duizenden servers met de malware zijn besmet. De servers worden voor allerlei criminele doeleinden ingezet, zoals het doorsturen van bezoekers naar besmette websites, het infecteren van bezoekers van gehoste websites met malware en het versturen van spam.
Eigenaren van een besmette server die via hun provider zijn ingelicht krijgen het advies van het Bundesamt für Sicherheit in der Informationstechnik (BSI) om de server helemaal opnieuw te installeren. Het wijzigen van de wachtwoorden heeft namelijk geen zin, aangezien de malware een backdoor op de besmette server opent waardoor de aanvallers direct toegang hebben. Deze backdoorverbinding is niet zichtbaar in de logbestanden. In deze FAQ geeft het BSI aanwijzingen hoe een infectie is te herkennen.
Dat geldt voor elk stukje software.
Daardoor is het minder vatbaar tegen malware e.t.c zo denkt men tegenwoordig.
Bij de particulieren is het meestal Windows wat de klok slaat of OSX wat men gebruikt als OS.
Tegenwoordig moet je bij ieder besturingssysteem alert zijn tegen dreigingen.
Alles is vooruit gegaan met de technologie,dus men moet meegaan,om de systemen up to date te houden,om het te beschermen tegen dreigingen.
Dat wordt wat met smart tv's, cv's, koelkasten en wat al niet. Allemaal kwetsbaar. Moet je die allemaal inde gaten gaan houden, er updates op installeren en misschien zelfs security software. Niet zo heel veel mensen zullen daar zin in hebben. Het antwoord van de markt lijkt te worden: als ze niet willen, gaan we ze dwingen. Geen aanlokkelijk perspectief.
jammer genoeg niet. Kun je terugvinden in FAQ.
Do antivirus products or other security tools detect Ebury?
Some antivirus products are capable of detecting Ebury, usually as 'SSHDoor' or 'Sshdkit'. However, ClamAV or tools like chkrootkit or rkhunter currently do not detect Ebury.
Ten overvloede: de FAQ over de rk van cert-bund.de stelt dat de infectie kan onstaan door (niet limitatief):
- Login credentials for a user account with root privileges on the affected system were stolen when administrators logged in using SSH from a machine already infected with Ebury. The login credentials were then harvested from the outgoing SSH connection on the infected machine.
- Login credentials for a user account with root privileges were stolen on Windows machines infected with an infostealer/keylogger malware when administrators logged in to the affected system using tools like PuTTY.
- The network of cPanel Inc.'s support department was compromised and machines used for connecting to customers' servers were found to be infected with Ebury [1].
- Some affected systems analyzed had been compromised by exploiting vulnerabilities in outdated software packages which led to the attackers gaining root privileges.
Van de bovenstaande lijst is de tweede interessant. Dat geval is een voorbeeld van hoe een gecompromitteerd MS Windows systeem een gevaar kan zijn voor andere systemen. En deze categorie van inbreuken op Windows schijnt bovendien niet erg zeldzaam!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
