Sicherheitsexperten von Stroz Friedberg haben eigenen Angaben zufolge eine getarnte Malware mit dem Namen „sedexp“ identifiziert, die Linux udev-Regeln nutzt, um sich einzunisten und sich der Entdeckung zu entziehen.
Die Bedrohung ist laut den Experten seit 2022 aktiv und bietet Angreifern Reverse-Shell-Funktionen und fortschrittliche Verschleierungstaktiken. Denn man habe trotz jahrelangem Vorhandensein mehrere Instanzen in Online-Sandboxen gefunden, die nicht entdeckt wurden. Zum Zeitpunkt der Erstellung dieses Berichts sei die verwendete Persistenztechnik auch nicht von MITRE ATT&CK dokumentiert worden.
Sedexp verwende udev-Regeln zur Aufrechterhaltung der Persistenz. Die Malware verstecke die Regeln mithilfe von Speichermanipulationstechniken. Bei udev handelt es sich um ein Geräteverwaltungssystem für den Linux-Kernel, das für die Verwaltung im Verzeichnis /dev zuständig ist. Es erstellt oder entfernt dynamisch Dateien, verarbeitet Hotplug-Ereignisse, um neue Geräte zu konfigurieren, und lädt bei Bedarf Treiber. Udev-Regeln sind Konfigurationsdateien, die von udev verwendet werden, um Geräte zuzuordnen und Aktionen als Reaktion auf Ereignisse wie das Hinzufügen oder Entfernen von Geräten auszuführen.
Die Malware bietet mehrere Angriffsmöglichkeiten. Sie enthalte etwa eine Reverse Shell, die es dem ermöglicht, die Kontrolle über das angegriffene System zu erhalten. Die Malware verändere auch den Speicher, um jede Datei, die die Zeichenfolge „sedexp“ enthält, vor Befehlen wie ls oder find zu verbergen. Bei der Untersuchung von Stroz Friedberg sei diese Methode genutzt worden, um Webshells, modifizierte Apache-Konfigurationsdateien und die udev-Regel selbst zu verbergen. Eine ausführliche Analyse ist online nachzulesen.
🤔 Wollen die bei Stroz damit sagen das weder die verwendete Distribution noch die Benutzerdefinierten Einstellungen, Berechtigungen oder eine Firewall, Einfluss darauf haben?
Wer ist betroffen?
Welche Auswirkungen sind realistich zu erwarten?
Ich finde diese Meldung als Panikmache und nicht objektiv und ins Detail gehend.
Schliesslich gab es schon einige Lücken über Jahre, über die aber praktisch nichts passiert ist außer das irgendwer sie irgendwann entdeckt hat.