1 Minute
Plague-Malware erlaubt dauerhaften SSH-Access
Eine seit über einem Jahr unentdeckte Linux-Malware erlaubt Angreifern dauerhaften SSH-Zugriff und das Umgehen der Authentifizierung auf kompromittierten Systemen. Sicherheitsforscher von Nextron Systems, die die Malware identifizierten und "Plague" tauften, beschreiben sie als bösartiges Pluggable Authentication Module (PAM), das durch gestaffelte Verschleierungstechniken und Manipulation der Umgebung herkömmliche Sicherheitstools austrickst.
Die Malware verfügt über Anti-Debugging-Funktionen zur Abwehr von Analysen, verschleierte Zeichenketten zur Tarnung, fest einprogrammierte Passwörter für verdeckten Zugang sowie die Fähigkeit, Spuren von Angriffssitzungen zu verbergen. Nach dem Laden entfernt Plague SSH-bezogene Umgebungsvariablen und leitet die Befehlshistorie nach "/dev/null" um, sodass keine Protokolle entstehen und der digitale Fußabdruck des Angreifers verschwindet.
Hinterlässt keine Spuren
Plague integriert sich tief in den Authentifizierungsprozess, überlebt Systemupdates und hinterlässt kaum forensische Spuren, erklärte Sicherheitsforscher Pierre-Henri Pezier. Die Verschleierungstechniken und das gezielte Entfernen von Sitzungsdaten würden die Entdeckung besonders schwierig machen.
Analysefunde zeigen, dass die Malware kontinuierlich weiterentwickelt wurde – Kompilierungsartefakte deuten auf eine lange aktive Entwicklungszeit und verschiedene Linux-Distributionen hin. Trotz mehrfacher Uploads auf VirusTotal im vergangenen Jahr schlugen keine Antivirus-Engines Alarm – ein Hinweis auf die Effektivität der Tarnung.