ShadowPad: Spionage-Hintertür in Admintools für Unix- und Linux-Server aufgedeckt
Zusammenfassung
Kaspersky entdeckte 2017 die Hintertür „ShadowPad“, die 17 Tage lang in Admin-Werkzeugen des koreanischen Herstellers NetSarang wie Xshell, Xmanager und Xftp steckte. Die trojanisierte DLL war mit gültigen NetSarang-Zertifikaten signiert und wurde über den regulären Update-Weg an Banken, Pharma- und Energiefirmen verteilt. Der Schadcode bestand aus verschlüsselten Modulen, die erst nach einem Signal vom Kontrollserver aktiv wurden.
Ideen
- Angreifer kompromittierten den Hersteller, um über legitime Updates seine Kunden zu erreichen.
- Eine gültige Signatur beweist nur die Herkunft vom Hersteller, nicht die Harmlosigkeit.
- Verschlüsselte, erst bei Bedarf entschlüsselte Module erschweren die Erkennung.
- Auffällige DNS-Anfragen im Netz einer Bank führten zur Entdeckung.
Einsichten
- Admin-Werkzeuge sind besonders lohnende Ziele, weil sie Zugang zu vielen Servern haben.
- Netzwerküberwachung entdeckt Lieferkettenangriffe oft früher als Virenscanner.
Fakten
- Die manipulierte Datei hieß nssock2.dll.
- Kurz zuvor war NotPetya im Juni 2017 über den Update-Mechanismus einer ukrainischen Finanzsoftware verbreitet worden.
- Die trojanisierten Versionen, etwa Xshell 5.0 Build 1322, wurden vom 17. Juli bis 4. August 2017 verteilt.
Referenzen
Kritik
- Die Meldung nennt betroffene Builds, aber keine Netzwerkindikatoren wie Domains, mit denen sich eine aktive Infektion erkennen ließe.
Bemerkungen
- Wenige Wochen später traf ein ähnlicher Lieferkettenangriff CCleaner; 2020 folgte SolarWinds mit weit größerer Wirkung.
Empfehlungen
- Überwache ausgehende DNS-Anfragen von Admin-Arbeitsplätzen auf ungewöhnliche Ziele.
- Beschränke Werkzeuge mit Serverzugriff auf dedizierte, gehärtete Admin-Rechner.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.