Trend Micro hat einen neuen RootKit für Linux auf Basis von 686, x64 und ARM entdeckt und analysiert. Der Bericht ist ganz interessant und jedem nur zu empfehlen. Das RootKit wurde Umbreon getauft, da sich der RootKit-Author bei der Namensfindung im Pokemon Umfeld bedient hat.
Kurz zusammengefaßt hat das RootKit folgende Eigenschaften:
Es läuft im Usermodus, also ohne Kernelmodule
es erlaubt einen Backdoorzugang u.a. per SSH/FTP zum System, den man nur beim Zugriff sieht,es filtert Ausgaben von Programm geschickt, so daß seine Existenz nicht mit Bordmitteln aufzudecken ist,
es filtert den Netzwerktraffic der Backdoors aus, so daß ein Tcpdump das nicht anzeigen würde,
und es patched so ziemlich jede wichtige Funktion der Libc Bibliothek.
Es kann daher nur mit einer LiveCD entfernt werden.
Finden kann man es durch ein spezielles Testprogramm, daß die Funktionen der LibC Bibliothek umgeht und direkt mit dem Kernel spricht. Damit das nicht zu einfach ist, erweitert das RootKit seine Dateien mit zufälligen Zeichenfolgen, die, wenn sie dem User auffallen, es verraten, was der RootKit dem Benutzer gegenüber erfolgreich verschleiert, aber eine automatisierte Suche mit einem Testtool erschwert.
Trend Micro hat auch gleich noch eine Anleitung veröffentlicht, wie man das Kit wieder los wird. Da es in erster Linie manuell installiert wird, also der Hacker Zugang zum System hat, ist es vergleichsweise schwer ein System zu infizieren, wenn man seinen Rechner nicht unbeaufsichtigt rumstehen hat und alle Updates einspielt. Auf das Nicht-Ausführen von per Email ankommenden Dateien, brauche ich ja meine Leser nicht extra hinzuweisen.
Eine Anmerkung: Seit wir in der Firma die Schranken für unfreiwillig zugeschickte ZIP / Docx usw. Dateien hochgezogen haben, verhungern bei uns die Spamanalysten 😀