Backdoor in Server-Management-Lösung für Großanwender entdeckt

Die Server-Management-Software des Anbieters NetSarang bietet Hackern eine Hintertür, warnen die Sicherheitsexperten von Kaspersky. NetSarang kommt vor allem bei größeren Umgebungen zum Einsatz.

Das Leck ShadowPad haben die Experten von Kaspersky laut eigenen Angaben bei der Untersuchung von verdächtigen DNS-Anfragen im Netzwerk eines Kunden aus der Finanzbranche entdeckt. Offenbar scheint es den Cyberkriminellen aber bislang noch nicht gelungen zu sein, eine mit dem Schadcode versehene Bibliothek (nssock2.dll) in die legitime Software von NetSarang einzuschleusen.

Diese Hintertür lasse sich remote aktivieren. Der Schadcode wird in mehreren Schichten aus verschlüsseltem Programmcode versteckt. Dadurch schafften es die Kriminellen, die gängigen Sicherheitslösungen zu täuschen. Auch die Kaspersky-Produkte wurden auf diese Weise getäuscht. Eine mehrstufige Architektur soll zudem dafür gesorgt haben, dass die Backdoor nur nach dem Empfang eines speziellen Datenpakets von einem Aktivierungsserver aktiviert wurde. Bis zu dem Zeitpunkt übertrug ShadowPad alle acht Stunden lediglich die Namen des Computers, der Domäne und der vorhanden Benutzer.

Kaspersky beschreibt ShadowPad zudem als eine modulare Backdoor-Plattform. “Sie kann vom Befehlsserver zur Verfügung gestellten Code herunterladen und ausführen sowie ein virtuelles Dateisystem (VFS) in der Registry anlegen. Das VFS und weitere durch den Schadcode erzeugte Dateien werden verschlüsselt und in einem für jedes Opfer individuellen Verzeichnis gespeichert. Die Fernzugriffsfunktion beinhaltet einen Algorithmus für die Erzeugung der Domain des Befehlsservers. Der wird monatlich geändert. Die Angreifer hätten bereits die Domains für die Monate Juli bis Dezember 2017 registriert.

Bisher wurde der Schadcode nur in einem Unternehmen in Hongkong nachgewiesen. Kaspersky rät jedoch allen Nutzern von NetSarang-Produkten, eine mögliche Kompromittierung der eigenen Systeme durch die manipulierte Software zu prüfen. Betroffen sind nach Angaben des Herstellers die Anwendungen Xmanager Enterprise 5 Build 1232, Xmanager 5.0 Build 1045, Xshell 5.0 Build 1322, Xftp 5.0 Build 1218 und Xlpd 5.0 Build 1220.

NetSarang betont in einem Advisory, dass alle Releases vor und nach den genannten Builds nicht betroffen sind. “Sollten Sie eines dieser Builds benutzen, empfehlen wir dringend die Nutzung der Software einzustellen, bis Sie ihre Clients aktualisiert haben.”

Xmanager Enterprise Build 1236, Xmanager Build 1049, Xshell Build 1326, Xftp Build 1222 und Xlpd Build 1224 seien laut Hersteller sicher. Zudem würden nach einer Aktualisierung, die Antivirenprogrammen die fragliche DLL-Datei löschen oder unter Quarantäne stellen. In dem Fall sei die NetSarang-Software erst nach einem Update auf die jüngste Version wieder funktionsfähig.

Laut Kaspersky Lab ist der Vorfall ein Beispiel für einen erfolgreichen Angriff auf die Lieferkette. “Angesichts der Möglichkeiten für eine verdeckte Datensammlung werden Angreifer wahrscheinlich diese Art von Angriff immer wieder mit anderen weit verbreiteten Softwarekomponenten versuchen”, ergänzte Kaspersky Lab. Da NetSarang schnell reagiert habe, seien wahrscheinlich Hunderte Angriffe auf Kunden des Unternehmens verhindert worden.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.