Die Angriffe über die allgemein mit Shellshock bezeichnete Sicherheitslücke halten an. Aktuell hat das japanische IT-Sicherheitsunternehmen Trend Micro Attacken auf Mailserver weltweit analysiert. 21 Prozent davon finden auf SMTP-Server in Deutschland statt.
Für die seit Ende September öffentlich bekannte Implementierungsschwäche und deren gleichartigen Nachfolger sind im Oktober und November funktionierende Fixes erschienen. Bis aber alle betroffenen Systeme – und das sind viele – damit ausgerüstet sind, haben Angreifer leichtes Spiel – so auch bei Mailservern, wie die Sicherheitsfirma Trend Micro ermittelt hat. Der Angriff beginnt laut deren Angaben mit zugesendeten E-Mails, die in den Feldern An, CC und Betreff Shellshock-Code enthalten.. Ist der SMTP-Server, an den eine solche Nachricht geschickt wird, angreifbar, führt der den eingebettete Schadcode aus. Dieser löst das Herunterladen eines IRC-Bots aus und löscht sich anschließend selbst, um unentdeckt zu bleiben. Der IRC-Bot wiederum stellt eine Verbindung zu einem IRC-Server her, über die Angreifer auf dem Mailserver verschiedene Befehle ausführen.
Betroffen sind mindestens die MTAs von Qmail, Exim vor Version 4 sowie Postfix mit Procmail.
