Ebury

aus SecuPedia, der Plattform für Sicherheits-Informationen

Anzeige
Wechseln zu: Navigation, Suche

Das Schadprogramm Ebury wird von Angreifern auf kompromittierten Systemen entweder durch den Austausch von SSH-Binärdateien oder alternativ einer von diesen Programmen gemeinsam genutzten Bibliothek installiert. Dabei handelt es sich um ein SSH-Rootkit mit Backdoor-Funktionalität für Linux und Unix-ähnliche Betriebssysteme. SSH oder Secure Shell an sich ist ein verschlüsseltes Netzwerkprotokoll.

Funktion

Auf infizierten Systemen stiehlt Ebury Zugangsdaten (Benutzernamen und Passwörter) von ein- und ausgehenden SSH-Verbindungen und sendet diese über das Internet an Dropzone-Server der Angreifer. Zusätzlich werden auch auf dem kompromittierten System für ausgehende SSH-Verbindungen verwendete private SSH-Schlüssel gestohlen. Darüber hinaus stellt Ebury eine Backdoor bereit, über welche die Angreifer jederzeit vollen Root-Zugriff auf infizierte Systeme erhalten können, auch wenn die Passwörter für Benutzerkonten regelmäßig geändert werden. Die SSH-Verbindungen über die Backdoor werden nicht in Logdateien protokolliert.


Ziele der Angreifer

Die kompromittierten und mit Ebury infizierten Systeme werden von den Tätern für verschiedene kriminelle Aktivitäten missbraucht, unter anderem für die Umleitung von Besuchern kompromittierter Webseiten auf Drive-by-Exploits oder den massenhaften Versand von Spam-Mails. Da die Angreifer über Root-Rechte auf den kompromittierten Systemen verfügen, sind sie in der Lage, beliebige Dateien auszulesen, zu löschen oder zu modifizieren. Ebenso können sie sicherheitsrelevante Konfigurationseinstellungen verändern oder weitere Schadprogramme installieren. Durch den Zugriff auf alle auf den kompromittierten Systemen verarbeiteten Daten können die Täter zum Beispiel im Falle von Servern für Online-Shops auch sensible Kundendaten ausspähen.


Infektionsgrad

Seit Februar 2013 hat das im Bundesamt für Sicherheit in der Informationstechnik (BSI) angesiedelte CERT-Bund (Computer Emergency Response Team für Bundesbehörden) verschiedene Varianten des Schadprogramms Ebury analysiert.

Durch die Zusammenarbeit von CERT-Bund mit weiteren Sicherheitsteams in einer internationalen Working Group konnten bereits viele tausend Systeme weltweit identifiziert werden, die mit Ebury infiziert sind - darunter auch viele hundert in Deutschland gehostete Server. Hosting-Provider in Deutschland sowie nationale CERTs in über 60 Ländern wurden jeweils zeitnah über erkannte Infektionen in ihrem Zuständigkeitsbereich informiert und gebeten, die Betreiber der betroffenen Systeme entsprechend zu benachrichtigen.

Die Anzahl der infizierten Systeme ist in den letzten Monaten jedoch nur sehr langsam zurückgegangen. Gespräche mit Betreibern betroffener Server haben gezeigt, dass einige Hosting-Provider ihre Kunden offenbar erst mit Verzögerungen von mehreren Wochen über die ihnen gemeldeten Infektionen informiert haben. Die Täter konnten die kompromittierten Server in dieser Zeit weiterhin für kriminelle Aktivitäten nutzen. Das Ausspähen abgehender SSH-Verbindungen ermöglichte den Angreifern außerdem, Zugangsdaten oder SSH-Schlüssel für weitere Systeme zu erlangen und diese ebenfalls unter ihre Kontrolle zu bringen.


Was ist bei einer Infektion zu tun?

Betreiber von Servern, die von ihrem Provider über eine Infektion informiert worden sind, sollten ihr Betriebssystem komplett neu installieren, empfiehlt CERT-Bund. Alle Zugangsdaten, die mit SSH-Verbindungen von oder zu einem infizierten System verwendet wurden, sowie auch alle auf dem System gespeicherten privaten SSH-Schlüssel müssen als kompromittiert angesehen und geändert werden.

CERT-Bund stellt mit einer FAQ Informationen bereit, wie Betreiber betroffener Systeme ihnen gemeldete Infektionen verifizieren können, und gibt Empfehlungen für Gegenmaßnahmen. Enthalten ist beispielsweise auch eine Regel zum Erkennen einer Infektion durch das Intrusion Detection System "SNORT".

Provider, die von CERT-Bund über von ihnen gehostete betroffene IP-Adressen informiert wurden, sollten diese Information möglichst rasch an ihre Kunden weitergeben und so dazu beizutragen, dass die Infektionen schnell beseitigt werden können. [1]


Weblinks


Einzelnachweis

  1. Pressemeldung des BSI vom 13.2.2014


Siehe übergeordnete Stichworte


Siehe auch



Diese Seite wurde zuletzt am 8. März 2017 um 13:17 Uhr von Oliver Wege geändert. Basierend auf der Arbeit von Norbert Luckhardt und Peter Hohl.

Anzeigen