Hacker nutzen eine kritische Sicherheitslücke in Shellshock zur Verbreitung einer selbst-vermehrenden Hintertür in NAS-Systemen. Forscher warnen.

Der bösartige Wurm greift insbesondere Netzwerk-verbundene Speichersysteme (NAS) der taiwanesischen Firma QNAP an, wie aus einem Blogartikel des SANS Institute hervorgeht. Der zugrunde liegende Shellshock-Code macht sich dabei einen Bug in GNU Bash zunutze. Darüber erlangen die Angreifer die Möglichkeit, Befehle und Codes ihrer Wahl auf den anfälligen Systemen auszuführen. QNAP-Ingenieure veröffentlichten im Oktober ein Update, das die Schwachstelle behebt.

Da der Wurm aber nun an so vielen Stellen entdeckt wurde, hat vermutlich eine Großzahl der Nutzer dieses Update noch nicht installiert.

Johannes B. Ullrich von SANS:

„Die Attacke zielt auf ein QNAP CGI-Skript – /cgi-bin/authLogin.cgi – ab, einen bekannten Vektor für Shellshock auf QNAP-Geräten. Das Skript wird während des Logins aufgerufen und ist ohne Authentifizierung aufrufbar. Das Exploit startet dann ein simples Shell-Skript, welches zusätzliche Malware herunterlädt und ausführt.“

Infizierte Systeme werden mit einem Secure Shell Dienst (SSH) und einem neuen Administrator versehen. Über diese dauerhafte Hintertür können die Angreifer dann jederzeit wieder auf das Gerät zugreifen, so Ullrich. Der Wurm behebt außerdem die Shellshock-Sicherheitslücke, vermutlich um anderen Angriffen einen Riegel vorzuschieben. Infizierte Geräte führen des Weiteren ein Skript aus, durch das sie Klick-Betrug gegen ein Werbe-Netzwerk durchführen. Eine Vielzahl anderer Skripte wird ebenfalls installiert.

„Infizierte Geräte scannen außerdem nach anderen anfälligen Geräten“,

so Ullrich.

Es war noch nicht möglich, das spezifisch für das Scannen verantwortliche Skript ausfindig zu machen. Vermutlich infiziert es einfach automatisch jedes anfällige Gerät, welches es findet. Forscher von FireEye warnten im Oktober, dass Shellshock-Sicherheitslücken für eine ganze Weile bestehen könnten, vor allem in den QNAP-NAS-Geräten. Administratoren, die bisher noch nicht alle Geräte mit Linux überprüft haben, sollten dies schleunigst tun, um sicherzustellen, dass die Bash-Schwachstelle behoben wird.

Artikel von arstechnica.com, 15.12.2014: Worm exploits nasty Shellshock bug to commandeer network storage systems