SpeakUp: Sicherheitsforscher entdecken neue Linux-Backdoor

Sicherheitsforscher von CheckPoint haben Mitte Januar eine neue Backdoor für Linux-Betriebssysteme entdeckt. Sie wird von einem Trojaner namens SpeakUp eingerichtet, der derzeit vor allem an Linux-Server in China verteilt wird. Die Hintermänner nutzen einen Exploit für das ThinkPHP-Framework, um Systeme mit der Schadsoftware zu infizieren.

Sobald der Trojaner in einem System eingeschleust ist, können die Hacker das lokale Cron-Werkzeug nutzen, um die Hintertür mit jedem Bootvorgang zu starten, Shell-Befehle auszuführen und Dateien von einem entfernten Befehlsserver herunterzuladen und auszuführen. Es ist ihnen außerdem möglich, den Trojaner zu aktualisieren oder zu deinstallieren.

Laut CheckPoint nutzt die Schadsoftware zudem ein eingebautes Python-Skript, um sich im gesamten lokalen Netzwerk zu verteilen. Das Skript sucht nach offenen Ports und greift erreichbare Systeme per Brute Forde an. Anmeldedaten entnimmt der Trojaner einer mitgelieferten Liste mit Nutzernamen und Passwörtern. Zudem stehen SpeakUp sieben Exploits zur Verfügung, um die Kontrolle über anfällige Systeme zu übernehmen. Dabei handelt es sich um bekannte Schwachstellen in JBoss Enterprise Application, JBoss Seam Framework, Oracle WebLogic, Hadoop YARN Resource Manager und Apache Active MQ Fileserver.

Infizierte Systeme fanden die Forscher aber nicht nur in China, sondern auch in Indien und mehreren lateinamerikanischen Ländern. Auch auf Amazon Web Services gehostete Maschinen sollen betroffen sein. Bei Virustotal wurde der Schädling erstmals am 9. Januar 2019 eingereicht. Bis einschließlich wurde er zudem von Virustotal nicht als schädlich eingestuft, sprich von keinem handelsüblichen Sicherheitsprogramm erkannt.

Derzeit befällt SpeakUp sechs verschiedene Linux-Distributionen. Darüber hinaus soll die Malware aber auch in der Lage sein, Rechner mit Apples Desktopbetriebssystem macOS zu infizieren.

Die Herkunft der Hintermänner konnte CheckPoint indes nicht bestätigen. Allerdings vermuten die Forscher aufgrund von Ähnlichkeiten des Codes von SpeakUp eine Verbindung zu einem Malware-Autor namens Zettabit. CheckPoint weist zudem darauf hin, dass die Gruppe hinter SpeakUp die bisher am besten organisierten Hacker sind, die das ThinkPHP-Ökosystem ins Visier genommen haben.