WORLDTECHMicrosoft: Angreifer tarnen Linux-Backdoors mit GSocket
Microsoft beschreibt Angreifer, die das Open-Source-Fernzugriffswerkzeug GSocket auf kompromittierten Linux-Servern einsetzten, wobei ihre Prozesse als legitime Systemkomponenten getarnt waren. Laut GBHackers, das über Microsofts Bericht vom 11. November berichtet, behielten die Eindringlinge den Zugriff sogar nach dem Patchen der ursprünglichen Schwachstellen.
Wie die Eindringlinge im System blieben
GBHackers zufolge wurde GSocket auf Servern platziert, die Angreifer bereits kompromittiert hatten, wobei die Prozesse des Werkzeugs wie legitime Systemkomponenten aussehen sollten.
Der Zugriff blieb bestehen, nachdem Administratoren die ursprünglichen Schwachstellen gepatcht hatten. Das Schließen der anfänglichen Schwachstelle entfernte die Eindringlinge somit nicht von selbst aus den Systemen.
Microsofts Sicht auf die Bedrohungsakteure
In seinem Bericht vom 11. November beschrieb Microsoft mehrere voneinander unabhängige Bedrohungsakteure, die das Werkzeug missbrauchten. Statt eigene Command-and-Control-Infrastruktur zu betreiben, stützten sie sich auf GSocket selbst.
Die Darstellung von GBHackers verweist auf Telemetriedaten von Defender for Endpoint, die einen Anstieg einschlägiger Aktivität um 356,2 Prozent zeigten.
Was berichtet und was nicht verifiziert ist
Die Erkenntnisse stammen aus der Darstellung eines einzigen Mediums zu Microsofts Bericht vom 11. November. Die Zahlen und Beschreibungen entsprechen dieser Darstellung und wurden für diesen Beitrag nicht am Originaldokument überprüft.
Offene Fragen
- Welche Server und Organisationen waren betroffen?
- Welchen Zeitraum umfasst der Anstieg um 356,2 Prozent?