Linux-Botnetz fährt 20 DDoS-Attacken täglich

Funktion steht nur registrierten Nutzern zur Verfügung!

Newsletter

Funktion steht nur registrierten Nutzern zur Verfügung!

Lesezeichen hinzufügen

Mi, 30. September 2015, 15:33

Software

Linux-Botnetz fährt 20 DDoS-Attacken täglich

Von einem Botnetz aus Linux-Rechnern werden derzeit täglich rund zwanzig Webseiten mit DDoS-Attacken überzogen, wobei teilweise bis zu 150 Gbps an Verkehr erzeugt werden.

Von Ferdinand Thommes

Das Xor.DDoS getaufte Botnetz, das von dem Akamais Security Intelligence Response Team (SIRT) näher erforscht wurde, benutzt den Trojaner XOR DDoS, um Linux-Rechner in das Botnetz einzubinden. XOR DDoS zählt dabei zur Kategorie der ELF-Malware, der Name XOR rührt von der intensiven Nutzung der XOR-Verschlüsselung sowohl in der Malware als auch beim Netzwerkverkehr mit den Command and Control Servern (C&C). Die Angriffe auf Webseiten betreffen bisher zu 90 Prozent den asiatischen Raum, wo auch die C&C-Server lokalisiert wurden. Dabei sind hauptsächlich Gaming-Seiten das Angriffsziel, gefolgt von Seiten aus dem dortigen Bildungssektor.

XOR DDoS dringt dabei über SSH per Brute-Force-Attacken gegen schwache Passwörter in Linux-Rechner ein. Einmal eingeloggt, wird mit Root-Privilegien ein Skript gestartet, das eine infektiöse Binärdatei herunterlädt und anschliessend ausführt. Nichts weist jedoch darauf hin, dass XOR DDoS Schwachstellen in Linux oder den Distributionen selbst ausnutzt. Das Botnetz wird bereits seit rund einem Jahr zusammengezurrt und hat jetzt eine Größe erreicht, um sehr potente Attacken gegen Webseiten dirigieren zu können.

»XOR DDoS ist ein Beispiel für das Umschwenken der Angreifer auf das Kompromittieren von Linux-Rechnern anstelle der früher fast ausschließlich per DDoS-Malware rekrutierten Windows-Maschinen«, so Stuart Scholly, der Vize-Präsident von Akamais Abteilung für Unternehmenssicherheit. Eine Möglichkeit zum Schutz vor solchen Malware-Angriffen ist das Blockieren des Root-Zugangs in der SSH-Konfiguration und das Ausweichen auf das Pubkey-Verfahren als alleinigen Zugang aus der Ferne.