1 zugeordnete(r) Akteur/Malware-Eintrag aus dem MITRE-Katalog+6
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
China-Linked Hackers Backdoored Linux Login Software to Hide for Nearly a Decade
Chinesische Hacker, bekannt als Velvet Ant, haben sich fast ein Jahrzehnt lang unborgen in Linux-Anmeldesystemen versteckt. Sie manipulierten PAM- und OpenSSH-Komponenten, um unautorisierten Zugriff zu erhalten. Betroffene Organisationen sollten ihre Linux-Infrastruktur auf diese Backdoors überprüfen und entsprechende Sicherheitsmaßnahmen ergreifen.
SecBoard-Einordnung
Die Bedrohung ist besonders kritisch, da die Angreifer sich in grundlegenden Anmeldesoftwarekomponenten versteckt haben, was eine langfristige Persistenz und Umgehung traditioneller Überwachung ermöglicht. Dies deutet auf eine ausgeklügelte und schwer zu erkennende Kompromittierung hin.
Realistisch schlimmster Fall: Langfristiger, unentdeckter Zugriff auf kritische Linux-Systeme, der zur Datenexfiltration, Systemmanipulation oder weiteren lateralen Bewegung innerhalb der Infrastruktur führen kann, ohne dass dies durch Standard-Sicherheitskontrollen erkannt wird.
Empfehlung: Überprüfung der Integrität von PAM- und OpenSSH-Komponenten auf allen Linux-Systemen, insbesondere auf Anzeichen von Manipulationen oder unbekannten Modifikationen. Implementierung von erweiterten Protokollierungs- und Überwachungslösungen für Anmeldeaktivitäten.
Betroffen
Organisationen, die Linux-Systeme mit PAM- und OpenSSH-Komponenten verwenden.
Prüfen
3- ▸Überprüfen Sie die Integrität von PAM-Modulen und OpenSSH-Binärdateien auf allen Linux-Systemen auf unbekannte Hashes oder Modifikationen.
- ▸Analysieren Sie Anmelde- und Authentifizierungsprotokolle (z.B. /var/log/auth.log) auf ungewöhnliche oder nicht autorisierte Anmeldeversuche oder erfolgreiche Anmeldungen, die nicht mit bekannten Benutzern oder Prozessen korrelieren.
▸ 1 weitere▾ weniger
- ▸Implementieren Sie eine erweiterte Überwachung für Änderungen an kritischen Systemdateien, insbesondere in Verzeichnissen, die PAM- und OpenSSH-Konfigurationen und Binärdateien enthalten.
Offene Punkte
5▸ anzeigen▾ ausblenden
- ▸Spezifische CVEs oder Exploits, die von der Gruppe verwendet wurden, sind nicht im Artikel genannt.
- ▸Die genauen Methoden, wie die Backdoors in PAM und OpenSSH implementiert wurden, sind nicht detailliert beschrieben.
- ▸Die betroffenen Branchen oder geografischen Regionen sind nicht spezifiziert.
- ▸Die genaue Dauer der Kompromittierung (fast ein Jahrzehnt) ist nicht mit einem Start- oder Enddatum versehen.
- ▸Die spezifischen Ziele oder Motivationen der Hackergruppe Velvet Ant sind nicht im Artikel aufgeführt.
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„not specified in the article“
„backdoored the PAM and OpenSSH components that decide who is allowed to sign in“
„backdoored the PAM and OpenSSH components that decide who is allowed to sign in“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
Akteursprofile