Nyt SSHD-rootkit opdaget – cPanel blandt de ramte

Et nyt rootkit er blevet spottet, som primært rammer RPM-baserede Linux-systemer. Det ser ud til at være baseret på meget af den samme kode, som var i trojanen Ebury, der blev opdaget tilbage i 2011.
Det vides endnu ikke præcist hvordan de ramte systemer bliver inficeret, men rootkittet er et meget grimt et af slagsen.

Ved inficering ændres biblioteket libkeyutils.so.1, hvor rootkittet er i stand til at hooke kritiske pam- og crypt-funktioner, som benyttes af SSHD under autentificering. Således bliver brugernes loginoplysninger opsnappet i det skjulte, og hackeren kan oprette listeners og få fuld adgang til det ramte system, på trods af at selve rootkittet kun kører i user-space.

Rootkittet sørger også for at slette hackerens spor ved at hooke funktionerne audit_log_user_message og audit_log_acct_message. Det kan derfor være svært at detektere et angreb, med mindre man specifikt tjekker integriteten af RPM-pakken keyutils-libs-1.2-1.e15. En anden metode er at undersøge brugen af shared memory, noget som rootkittet bruger til intern kommunikation, men som normalt ikke bliver brugt af SSHD.

Opretter man en SSH-forbindelse fra et kompromiteret system til et andet, risikerer man at rootkittet spreder sig til det nye system. Blandt ramte firmaer er cPanel, hvor rootkittet kan være spredt fra en eller flere workstations til deres klientservere. På deres forum fortælles der også hvordan man selv detekterer og løser problemet.