Mehr als fünf Jahre soll eine Mumblehard getaufte Malware bereits Linux-Server verseuchen, um sie in Spam-Schleudern zu verwandeln, schreiben die Security-Forscher von Eset. Hinter der Software könnte eine Massenmail-Firma stecken.

Eset hat die Spamschleuder nun analysiert und beschreibt die Details in einem Whitepaper. Demnach besteht die Malware aus einer Backdoor und einem Spam-Daemon, beide sind in Perl geschrieben. Ein in Assembler geschriebener Packer erzeugt aus den Perl-Skripten ELF-Binärdateien, um den Perl-Code zu verschleiern. Offenbar gehen die Entwickler der Malware damit gewiefter vor als andere Hersteller. Ein Cronjob führt die in “/tmp” oder “/var/tmp” abgelegte Backdoor-Software dann regelmäßig aus.

Im April fand die Firma mehr als 3000 Server, auf denen Mumblehard lief. Allerdings scheint sich die Malware nicht über Sicherheitslücken auf den Servern zu verbreiten, jedenfalls schreibt Eset nichts darüber. Die Malware kann auf den Server gelangen, wenn Serverbetreiber aktiv illegale Kopien des Massenmail-Versenders Direct Mailer installieren, den eine Firma namens Yellsoft offiziell verkauft. Mumblehard ist zudem nicht schwer zu finden, ein Blick in die Crontab genügt.

Die von Mumblehard kontaktierten Command-and-Control-Server befinden sich allerdings im IP-Adressbereich von Yellsoft, was zwei mögliche Schlüsse nahelegt. Einer könnte sein, dass Yellsoft selbst eine verseuchte illegal Kopie der eigenen Software anbietet, ein anderer, dass die Malware-Verbreiter auch die Server des Direct-Mail-Anbieters kompromittiert haben. Auf der russischsprachigen Webseite warnt Yellsoft jedenfalls davor, die Software über einen bestimmten Link herunterzuladen. Dort wird sie mittlerweile aber nicht mehr angeboten.