bk99.de entertain the web since 1997

bk99.de
CLT · PraxiswissenKuratiert

Totalschaden: ein gehackter Server auf dem OP-Tisch

Zusammenfassung

Peer Heinlein von Heinlein Support zeigte bei den Chemnitzer Linux-Tagen 2013 die Schritt-für-Schritt-Untersuchung eines echten gehackten Root-Servers. Der Fall war ein mustergültiges Beispiel für Hintertüren, Rootkits und das, was Angreifer damit anstellen. Der Vortrag erklärte, woran man Einbrüche erkennt, wie Rootkits funktionieren und welche Hinweise auf Manipulationen man nicht übersehen sollte.

Was ist ein Rootkit?

Ein Rootkit ist Schadsoftware, die sich nach einem Einbruch auf dem System versteckt und dem Angreifer dauerhaften Zugang sichert. Es kann Systemprogramme wie ps, ls oder netstat austauschen, damit sie die Prozesse und Dateien des Angreifers nicht mehr anzeigen. Moderne Varianten nisten sich sogar im Kernel ein.

Das macht die Untersuchung schwierig: Auf einem kompromittierten System kann man keinem Werkzeug mehr trauen. Spuren findet man eher über Abweichungen, etwa unerwartete Netzwerkverbindungen, veränderte Prüfsummen von Systemdateien oder Lücken in Protokollen.

Was man daraus lernen kann

Die wichtigste Lehre aus solchen Fällen ist unbequem: Ein gehackter Server lässt sich nicht zuverlässig reinigen. Er muss neu aufgesetzt werden, und alle Zugangsdaten, die dort lagen oder genutzt wurden, müssen ausgetauscht werden. Die Untersuchung dient dazu, den Einfallsweg zu finden, damit er beim neuen System geschlossen ist.

Ideen

  • Rootkits verstecken Prozesse, Dateien und Verbindungen von Angreifern.
  • Spuren eines Einbruchs zeigen sich oft als Abweichung vom Normalzustand.
  • Ein echter Vorfall eignet sich besonders gut als Lehrbeispiel.

Einsichten

  • Auf einem kompromittierten System ist keinem Werkzeug mehr zu trauen.
  • Ein gehackter Server muss neu aufgesetzt werden, Reinigung reicht nicht.

Fakten

  • Den Vortrag hielt Peer Heinlein, Geschäftsführer der Heinlein Support GmbH.
  • Untersucht wurde ein real existierender Vorfall auf einem Root-Server.
  • Als Vorkenntnis wurde Linux-Serveradministration erwartet.

Referenzen

Bemerkungen

  • Vom Vortrag gibt es Audio-Aufzeichnungen auf der Programmseite der Chemnitzer Linux-Tage.

Empfehlungen

  • Erstelle bei einem Verdacht zuerst ein Abbild des Systems und untersuche es von einem sauberen Rechner aus.
  • Tausche nach einem Einbruch alle Passwörter und Schlüssel, die auf dem System lagen oder dort benutzt wurden.

Programmpunkt öffnen →

Im Webarchiv suchen

CLT · 2024

Proxmox VE und Proxmox Backup Server

Jonas Sterr von der Thomas-Krenn.AG stellte bei den Chemnitzer Linux-Tagen 2024 Proxmox VE und den Proxmox Backup Server vor. Der Weg führte vom einzelnen Server über Cluster bis zur Hochverfügbarkeit, mit einer Live-Vorführung eines Clusters aus drei Proxmox-Knoten mit Ceph. Dazu kamen Ausbauvarianten und Benchmarks für Ceph sowie Erfahrungen aus dem Einsatz bei Kunden.

CLT · 2026

Vanilla Linux auf einem 100-Gbit/s-Router

Benedikt Heine, Head of Infrastructure bei der 3Q GmbH, berichtete bei den Chemnitzer Linux-Tagen 2026, wie die Firma Mellanox-Switches mit normalem Linux als Router für 100 Gbit/s einsetzt. Möglich macht das switchdev, mit dem der Linux-Kernel die Schaltlogik direkt auf den Switch-Chip auslagert. Das Ergebnis: voller Linux-Support, lange Softwarepflege, kein weiterer Netzwerkhersteller zum Lernen und keine Lizenzkosten.

CLT · 2025

Energiewende zu Hause: Open Source ohne Cloud

Daniel Schreiber vom Universitätsrechenzentrum der TU Chemnitz zeigte bei den Chemnitzer Linux-Tagen 2025, wie man die Energiewende zu Hause mit Open Source und ohne Cloud umsetzt. Freie Projekte decken das Messen der Stromerzeugung, die Speicherung, das Steuern von Verbrauchern und die Optimierung des Strombezugs ab und arbeiten gut zusammen. Anders als die meisten Herstellerlösungen funktioniert das auch ohne Cloud und mit Geräten verschiedener Hersteller.