© Gleb TV, 123RF

Seit Kurzem breitet sich ein neuer Linux-Schadcode namens Godlua im Internet aus. Er nutzt auch verschlüsselte DNS-Abfragen zur Tarnung.

Der Name Godlua leitet sich aus God und Lua ab. Der zweite Teil des Namens deutet auf die für Teile des Codes verwendete Programmiersprache Lua hin. Der erste Teil verweist auf den im Lua-Byte-Code enthaltenen Magic-Code God.

Ziel dieser neuen Schadsoftware ist es, sich zu verbreiten und dann Distributed-Denial-of-Service-Attacken (DDoS) gegen Webserver zu starten, um die Server gezielt zu überlasten, bis sie schließlich ihren Dienst quittieren. Das wird einfach durch eine sehr große Anzahl von HTTP-Anfragen erreicht. Anfänglich wurde auch vermutet, dass Godlua zum Mining von Kryptowährungen gedacht sei. Das scheint nach genauerer Analyse aber nicht der Fall zu sein.

Aktuell finden sich zwei verschiedene Godlua-Versionen im Umlauf. Ursprünglich entdeckt und genauer studiert hat den Godlua-Schadcode im April die chinesischen Sicherheitsfirma Qihoo/360 Netlab [1]. Den Forschern fiel eine verdächtige ELF-Datei auf. Momentan scheinen hauptsächlich chinesische Seiten Ziel der Angriffe zu sein.

Eine Eigenschaft des Schädlings geriet besonders in den Fokus der Untersuchung: Der Code verwendet nämlich eine verschlüsselte DNS-Verbindung zur Kommunikation mit dem Kommando-Server. Das hat für Godlua den Vorteil, dass derartiger Netzwerkverkehr nur schwer zu filtern ist.

Neben der Kommunikation via DNS haben sich die Entwickler von Godlua noch weiterer Kommunikationskanäle bedient. So kommen auch hartkodierte oder auf Pastebin.com und Github.com hinterlegte Adressen zum Einsatz. Welches Verfahren genau benutzt wird, hängt von der Version der Schadsoftware ab. Die ältere Version verwendet beispielsweise auch die hartkodierte Adresse http://d.heheda.tk oder eine Github-Seite, bei der die Adresse in der Projektbeschreibung versteckt ist.

Die neuere Version benutzt hingegen auch den verschlüsselten DNS-Mechanismus zum Austausch von Adressen. Diese bringt sie im DNS-TXT-Feld unter.

Einfallstor Confluence

Zum eigentlichen Zugriff auf Rechner, die es befallen will, benutzt Godlua CVE-2019-3396 [2]. Schon im März veröffentlichte Atlassian entsprechende Sicherheitsupdates für den Collaboration-Dienst Confluence. Diese behoben unter anderem auch das kritische Sicherheitsproblem, das Angreifer ausgenutzt hatten, um unberechtigt Zugriff auf Server zu erlangen.

Mit Blick auf die verschlüsselte DNS-Kommunikation zum Kommando-Server kam es nach Veröffentlichung des Qihoo/360 Netlab Advisory zu Missverständnissen. Im Advisory sprachen die Entdecker von Godlua nämlich explizit von DNS-over-HTTPS, das die Angreifer nutzen würden. DNS-over-HTTPS (DoH) ist ein recht neues Protokoll, das regelt, wie sich die DNS-Auflösung über das HTTPS-Protokoll abspielen soll.

Sein Ziel ist es, die Sicherheit der Benutzer zu erhöhen, indem das Abhören und Manipulieren von DNS-Daten durch Man-in-the-Middle-Angriffe verhindert wird. Daneben sind weitere Ziele von DoH, die Leistung zu verbessern und DNS-basierte Zensurmaßnahmen zu verhindern. DoH wurde 2018 als RFC 8484 [3] standardisiert.

Das Godlua-Advisory unterstellte nun, dass der neue Standard auch für Angreifer sehr nützlich sei, um effizient Schadsoftware zu verbreiten. Bei genauerem Hinsehen stellte sich dann allerdings heraus, dass Godlua zwar sehr wohl DNS-Daten via HTTPS verschlüsselt, dabei aber doch nicht das DoH-Verfahren verwendet.