Eine neu entdeckte Malware namens Perfctl zielt auf Linux-Server ab. Perfctl ist vermutlich schon seit 2021 im Umlauf und wird eingesetzt, um Linux-Systeme heimlich als Proxy-Server und für Krypto-Mining zu nutzen. Das Schadprogramm kann auch als Loader für weitere unerwünschte Programme fungieren.
Perfctl sucht gezielt nach etwa 20.000 verschiedenen Fehlkonfigurationen, die Linux-Server potenziell aufweisen. Die Malware ist besonders schwer fassbar und hartnäckig. Sie verwendet Rootkits, um ihre Anwesenheit zu verbergen, und stoppt alle auffälligen Aktivitäten, sobald sich ein Benutzer am Server anmeldet. Sie verharrt im Ruhezustand, bis der Server wieder inaktiv wird. Für die interne Kommunikation nutzt Perfctl Unix-Sockets und für externe Verbindungen das TOR-Netzwerk. Nach der Ausführung löscht sie ihre Binärdatei und läuft leise als Dienst im Hintergrund weiter. Dabei kopiert sie sich an verschiedene Orte auf der Festplatte und nutzt irreführende Dateinamen, um nicht entdeckt zu werden. Eine Hintertür wird geöffnet, über die sie auf TOR-Kommunikation lauscht, und sie versucht, die Polkit-Schwachstelle (CVE-2021-4043) auszunutzen, um ihre Privilegien zu erweitern.
Da stelle ich mir doch glatt die Frage, was es alles für Tools gibt, um sein eigenes Netzwerk nach solchen Fehlkonfigurationen zu durchsuchen.
Hat jemand ein paar Empfehlungen parat?