Eine neue Linux-Backdoor-Malware ist aufgetaucht. Sie nutzt raffinierte Techniken, um die Authentifizierung zu umgehen und Angreifern dauerhaften Zugriff auf das System zu verschaffen. Sicherheitsexperten haben kürzlich ein schädliches PAM-Modul (Pluggable Authentication Module) entdeckt, das es Cyberkriminellen ermöglicht, Linux-Systeme zu infiltrieren, ohne Alarm auszulösen.
Die Malware mit dem Namen Plague sorgt in der Cybersicherheitsbranche für Aufsehen, da sie traditionellen Erkennungsmethoden entgeht und selbst Neustarts und Updates übersteht.
Was ist die Plague-Backdoor?
Plague ist ein bösartiges PAM-Modul, das sich nahtlos in den Authentifizierungsprozess von Linux-Systemen einfügt. Nach der Installation fängt es Anmeldeinformationen ab und gewährt Angreifern Fernzugriff per SSH. Besonders besorgniserregend ist, dass sie sich sogar ohne Passwort anmelden können – sofern sie das richtige Auslösewort kennen.
Im Gegensatz zu typischer Linux-Malware erzeugt Plague keine offensichtlichen Prozesse oder Netzwerkanfragen. Sie nistet sich tief im PAM-Stack ein – einem Bereich, den Verteidiger nur selten prüfen.
Warum ist sie so gefährlich?
Diese Linux-Backdoor-Malware ist äußerst schwer zu erkennen und zu entfernen. Das sind die Hauptgründe:
- Keine AV-Erkennung: Anfang August 2025 wurde sie von keinem Antivirenprogramm auf VirusTotal erkannt.
- Tiefe Persistenz: Plague klinkt sich direkt in das vertrauenswürdige PAM-Modul ein, wodurch eine Erkennung fast nur mit forensischen Mitteln möglich ist.
- Unbemerkter Zugriff: Angreifer können sich per SSH anmelden, ohne Verdacht zu erregen oder Brute-Force-Techniken einzusetzen.
- Keine Protokolle oder Spuren: Die Malware hinterlässt keine sichtbaren Einträge in Logs oder Überwachungstools.
So funktioniert sie
Angreifer umgehen die Authentifizierung, indem sie einen bestimmten Benutzernamen und ein spezielles Auslösewort als Passwort eingeben.
Technische Merkmale:
- Individuell definierte Passwort-Auslöser
- Vollständiger Root-Zugriff
- Verschleierte Code-Struktur
- Ausführung im Arbeitsspeicher ohne Festplattenzugriff
Was macht sie so besonders?
Obwohl Linux-Malware nichts Neues ist, sticht dieser PAM-basierte Angriff hervor. Plague verhält sich nicht wie herkömmliche Schadsoftware und vermeidet typische Warnsignale.
Sicherheitsexperten gehen davon aus, dass die Malware bereits seit Monaten aktiv war, bevor sie entdeckt wurde. Ihre Fähigkeit, Neustarts zu überstehen und sich im System zu verstecken, macht sie zu einer der hinterhältigsten Backdoors, die je in Linux-Umgebungen entdeckt wurden.
So lässt sie sich erkennen und abwehren
Systemadministratoren und IT-Sicherheitsteams sollten umgehend reagieren:
- PAM-Konfigurationen auf unbekannte Module prüfen
- Werkzeuge zur Dateiintegritätsprüfung wie AIDE oder Tripwire einsetzen
- Verhaltensbasierte Erkennung statt reiner Signaturanalyse nutzen
- Authentifizierungsvorgänge auf ungewöhnliche Muster oder stille Anmeldungen überwachen
Fazit
Die Entdeckung der Linux-Backdoor Plague zeigt, wie ausgeklügelt moderne Angriffe geworden sind. Durch den Missbrauch eines zentralen Authentifizierungssystems in Linux gelingt es der Malware, unerkannt zu bleiben, stillen Zugriff zu gewähren und die Systemintegrität zu gefährden. Administratoren sollten ihre PAM-Einstellungen dringend überprüfen und die Überwachung verstärken, um zukünftige Angriffe abzuwehren.
0 Kommentare zu „Linux-Backdoor-Malware umgeht stillschweigend die Authentifizierung“