FirewallFalcon Manager versteckt Hintertür in kostenlosem VPN-Tool

FirewallFalcon Manager präsentiert sich als kostenloses Open-Source-Tool zur Verwaltung von Linux-Servern, VPN-Diensten und Proxy-Infrastruktur. Forscher warnen nun jedoch davor, dass die Software eine Hintertür verbirgt, die Angreifern weitreichende Kontrolle über Systeme ermöglichen kann, auf denen sie installiert ist.

Das Tool wurde über Telegram-Kanäle bei VPN-Wiederverkäufern und sogenannten Free-Internet-Betreibern beworben. Diese Dienste helfen Nutzern häufig dabei, Beschränkungen für mobile Daten zu umgehen, insbesondere in Teilen des Nahen Ostens und Afrikas.

Obwohl die Software funktionierende Verwaltungsfunktionen bietet, können ihre versteckten Komponenten Betreiber erheblichen Sicherheitsrisiken aussetzen.

Tool zielt auf VPN- und Tunnelbetreiber

FirewallFalcon Manager bietet Funktionen, die legitimer Software zur Serververwaltung ähneln. Der öffentlich zugängliche Code kann Dienste wie Nginx, HAProxy, DNS-Tunneling, SSL-Zertifikate und Linux-Benutzerkonten verwalten.

Dieses funktionale Design trägt dazu bei, dass das Tool vertrauenswürdig erscheint. Forscher stellten jedoch fest, dass sich hinter den ausgefeilten Menüs und dem öffentlichen Code-Repository eine komplexe Angriffskette verbirgt.

Die Kampagne scheint sich auf Personen zu konzentrieren, die SSH- und VPN-Tunneling-Dienste betreiben oder weiterverkaufen. Diese Tools können legitime Verbindungsanforderungen erfüllen, Kriminelle können sie jedoch auch nutzen, um Datenverkehr zu verbergen oder einer Erkennung zu entgehen.

Die Forscher beschrieben diesen Markt als Grauzone. Betreiber installieren möglicherweise Tools mit erweiterten Berechtigungen, ohne den Code ausreichend oder überhaupt zu überprüfen. Dadurch werden sie zu attraktiven Zielen für Lieferkettenangriffe.

Versteckte Änderungen können Datenverkehr umleiten

Das größte Risiko entsteht, wenn ein Betreiber die DTunnel-bezogene Komponente des Tools installiert. Nach Angaben der Forscher kann die Schadsoftware Netzwerkanfragen umleiten, die eigentlich einen legitimen Server zur Überprüfung von Abonnements erreichen sollten.

Dazu fügt sie ein betrügerisches Zertifikat hinzu und ändert das Ziel des Datenverkehrs. Dadurch kann sich der Angreifer zwischen dem System des Opfers und dem vorgesehenen Dienst positionieren.

Infolgedessen könnte der Angreifer Verbindungen abfangen, ohne dass der Betreiber dies bemerkt. Die schädlichen Änderungen können außerdem einen Weg zur Kontrolle der betroffenen Infrastruktur mit Root-Rechten eröffnen.

Dies ist besonders gefährlich für Organisationen oder Wiederverkäufer, die mehrere Server verwalten. Eine Kompromittierung auf Verwaltungsebene könnte einem Angreifer Zugriff auf ein größeres Netzwerk von Nutzern und Diensten ermöglichen.

Werbung auf Telegram half bei der Verbreitung

Forscher fanden Werbung für FirewallFalcon Manager in zwei Telegram-Gruppen mit Tausenden von Mitgliedern. Außerdem identifizierten sie mehr als 650 aktive Server, die mit der umfassenderen Operation in Verbindung standen.

Die Kampagne zeigt, dass Bedrohungen der Lieferkette nicht nur populäre Softwareprojekte betreffen. Angreifer können auch kleinere und weniger sichtbare Communitys ins Visier nehmen, in denen Vertrauen, Komfort und kostenloser Zugang eine schnelle Verbreitung fördern.

Ein Tool ist nicht automatisch sicher, nur weil es über ein öffentliches Code-Repository oder nützliche Funktionen verfügt. Betreiber sollten überprüfen, wer ein Projekt betreut, Installationsskripte mit erweiterten Berechtigungen kontrollieren und Konfigurationsänderungen nach der Bereitstellung überwachen.

Fazit

FirewallFalcon Manager zeigt, wie ein überzeugendes Open-Source-Tool eine gefährliche Hintertür verbergen kann. VPN-Betreiber und Serveradministratoren sollten keine ungeprüften Tools mit Root-Rechten installieren und ihre Systeme auf unerwartete Zertifikate, Änderungen des Datenverkehrs und nicht autorisierte Konfigurationsdateien überprüfen.