Perfectl Cryptomining-Malware befällt Linux-Rechner

Anbieter zum Thema

MicroConsult Academy GmbH

emlix GmbH

RTI Real-Time Innovations

Security-Forscher haben eine Malware ausfindig gemacht, die seit Jahren eine Reihe von Schwachstellen in Linux-Systemen ausnutzt und diese heimlich für Cryptomining ausnutzt. Seit 2021 dürften laut Ansicht der Analysten mehrere Tausend Systeme befallen sein.

Security-Forscher des Cloud-Sicherheitsanbieters Aqua Security haben vor einer Malware gewarnt, die gezielt Schwachstellen in Linux-Systemen ausnutzt. Der „perfectl“ genannte Schädling habe „mindestens seit 2021“ bereits Tausende von Rechnern weltweit infiziert und berge das Potenzial hat, noch weitaus mehr Systeme mehr zu befallen.

Aqua Security veröffentlichte am Donnerstag seinen Forschungsbericht über die Linux-Malware Perfctl. Demnach suche der Schädling „aktiv nach mehr als 20.000 Arten von Fehlkonfigurationen“, die üblicherweise in Linux-Systemen anzutreffen sind. Die Forscher des Nautilus-Teams von Aqua sind der festen Überzeugung, dass die Angreifer damit Millionen von Systemen ins Visier genommen haben und dass unzählige weitere Linux-Server gefährdet sein könnten. Perfectl nutzt darüber hinaus den Common Vulnerability Exploit CVE-2023-33426 aus, eine mit einem Schweregrad von 10 von 10 bezifferte Schwachstelle, die letztes Jahr in Apache RocketMQ gepatcht wurde, einer Messaging- und Streaming-Plattform, die auf vielen Linux-Rechnern zu finden ist.

Tarnung im Namen regulärer Systemprozesse

Der Name „Perfectl“ setzt sich aus dem Linux-Montoring-System perf und der bei Linux-Anwendern häufig für Kommandozeilenbefehle genutzten Abkürzung „ctl“ (für “control“) zusammen. Die Malware nutzt eine Schwachstelle oder Fehlkonfiguration in einem Zielsystem aus, bevor sie eine Nutzlast („Payload“) von einem vom Angreifer kontrollierten HTTP-Server herunterlädt. Die Nutzlast „kopiert sich dann aus dem Speicher an einen neuen Ort im Verzeichnis ‚/tmp‘, führt die neue Binärdatei von dort aus, beendet den ursprünglichen Prozess und löscht dann die ursprüngliche Binärdatei, um ihre Spuren zu verwischen“.

Bildergalerie

Die so ins befallene System eingeschleuste Malware wird als Rootkit installiert und verwendet ähnliche Namen von typischen Dateien und Prozessen in Linux-Systemen, um ihre heimliche Aktivität weiter zu verschleiern. Nach Erfahrung der Forscher wird hierfür meist der Name des Prozesses genutzt, durch den die Nutzlast ursprünglich in den Rechner eindringen konnte. Fehlermeldungen durch den Dienst mesg werden aktiv unterdrückt und der Linux-Prozess pcap_loop manipuliert, um die heimlichen Aktivitäten vor wachsamen Systemadministratoren zu verbergen.

„In unserem Fall wurde die Malware von 'sh' ausgeführt, daher wurde der Name der Malware von httpd in sh geändert“, heißt es im Bericht von Aqua Security. „Zu diesem Zeitpunkt fungiert sie sowohl als Dropper als auch als lokaler Command-and-Control-Prozess (C2). Die Malware enthält einen Exploit für CVE-2021-4043, den sie auszuführen versucht, um Root-Rechte auf dem Server zu erlangen. Die Malware kopiert sich weiterhin aus dem Speicher an ein halbes Dutzend anderer Speicherorte mit Namen, die wie herkömmliche Systemdateien aussehen. Außerdem legt sie ein Rootkit und einige beliebte Linux-Dienstprogramme ab, die so modifiziert wurden, dass sie als Rootkits für Benutzer dienen (z. B. ldd, lsof).“

Obwohl die Malware in erster Linie dazu verwendet wird, sich Zugang zu verschaffen und die Persistenz aufrechtzuerhalten, enthält sie auch einen Cryptominer und wurde bereits beim Proxyjacking eingesetzt. Dabei wird die IP des befallenen Rechners missbraucht, um hierüber gegen Bezahlung Internet-Traffic umzuleiten, etwa um die eigentliche IP-Adresse für andere Cybercrime-Aktivitäten zu verschleiern.

Den Forschern zufolge erweise sich die Malware auch als besonders evasiv: „Alle Binärdateien sind gepackt, gestrippt und verschlüsselt, was auf erhebliche Anstrengungen zur Umgehung von Verteidigungsmechanismen und zur Verhinderung von Reverse-Engineering-Versuchen hindeutet. Die Malware verwendet auch fortschrittliche Umgehungstechniken, wie z. B. die Unterbrechung ihrer Aktivitäten, wenn sie einen neuen Benutzer in den Dateien 'btmp' oder 'utmp' erkennt, und die Beendigung jeglicher konkurrierender Malware, um die Kontrolle über das infizierte System zu behalten.“ Erst wenn der Server wieder in eine Ruhezustand übergeht werde die Aktivität wieder aufgenommen.

In einem am Donnerstag (3.10.2024) veröffentlichten Blogpost zum Berichtliefern die Sicherheitsforscher Anhaltspunkte, mit denen Systemadministratoren prüfen können, ob ein Rechner von perfectl befallen sein könnte. Insbesondere sollten Administratoren auf verdächtige Aktivitäten während der Ruhe- oder Leerlaufzeiten eines Systems achten. Der Report spricht auch einige Empfehlungen aus, die Admins ergreifen können, um eine drohende Infektion von Vornherein zu unterbinden.(sg)

Safety meets Security: 5 Regeln für sicheres Embedded-Design

Im Visier von Hackern und Datendieben

Linux auf IoT-Geräten: Schützen Sie den Pinguin!

(ID:50191794)