Linux: Schadsoftware „Perfctl“ infiziert seit Jahren Server

Eine kürzlich entdeckte Malware namens „Perfctl“ befällt seit 2021 massenhaft Linux-Server und bleibt dabei oft über Jahre unbemerkt. Wie die IT-Sicherheitsexperten von Aqua Security berichten, nutzt die Schadsoftware Schwachstellen in falsch konfigurierten Linux-Systemen aus und setzt diese heimlich für Kryptomining sowie als Proxy-Server ein. Die raffinierte Tarnung und die geschickte Nutzung von Sicherheitslücken haben dazu geführt, dass Malware erst jetzt in großem Umfang entdeckt wurde.

Gezielte Angriffe auf schlecht konfigurierte Server

Laut einem Bericht von Aqua Security haben die Forscher Assaf Morag und Idan Revivo analysiert, dass „Perfctl“ auf Linux-Server mit bis zu 20.000 verschiedenen Fehlkonfigurationen abzielt. Sobald ein Server mit dem Internet verbunden ist, besteht demnach eine erhebliche Wahrscheinlichkeit, dass er von der Malware infiziert wird. Obwohl die genaue Zahl der betroffenen Geräte schwer zu ermitteln ist, schätzen die Forscher, dass bereits Millionen von Servern angegriffen wurden. Die Experten gehen zudem von tausenden erfolgreichen O erfolgreich infiziert wurden.

Kryptomining und Proxy-Jacking als Hauptziele

In den meisten bekannten Fällen nutzte die Malware die infizierten Systeme zum Ausführen von Kryptominern, die die Rechenleistung der Server missbrauchen, um Kryptowährungen wie Bitcoin zu schürfen. In einigen Fällen wurde zusätzlich Proxy-Jacking-Software installiert, die die infizierten Systeme als unauffällige Weiterleitungsdienste für Cyberkriminelle verwendet. So können Kriminelle ihren Internetverkehr über die betroffenen Server leiten und die Aufdeckung ihre eigenen Identität erschweren.

Perfekte Tarnung dank Rootkits

Eine der größten Herausforderungen bei der Entdeckung von „Perfctl“ ist die geschickte Tarnung der Malware. Die Schadsoftware nutzt Rootkits, um ihre Präsenz auf den infizierten Servern zu verstecken. Sobald sich ein Nutzer auf dem Server anmeldet, stoppt „Perfctl“ alle auffälligen Aktivitäten, um einer Entdeckung zu entgehen. Nach der Abmeldung des Nutzers nimmt das Schadprogramm seine illegalen Aktivitäten nahtlos wieder auf. Diese dynamische Tarnung machte es besonders schwierig, die Malware frühzeitig zu entdecken.

Die Malware nutzt bekannte Schwachstellen wie die Polkit-Sicherheitslücke (CVE-2021-4043) aus, um ihre Rechte auf dem infizierten System zu erweitern. Diese Schwachstelle, die in veralteten Versionen von Apache RocketMQ gefunden wurde, zeigt beispielhaft, wie „Perfctl“ ungesicherte oder schlecht konfigurierte Systeme angreift. Trotz des 2022 veröffentlichten Patches bleiben viele Server weiterhin anfällig.

TOR-Netzwerk dient der Erschwerung der Nachverfolgung

Um seine Kommunikation zu verschleiern, leitet „Perfctl“ die externen Verbindungen über das TOR-Netzwerk. Innerhalb des Servers läuft die Kommunikation über Unix-Sockets, was es nahezu unmöglich macht, die Vorgänge nachzuverfolgen. Zudem löscht die Malware nach der Installation ihre eigenen Binary-Dateien und läuft fortan als unsichtbares Hintergrundprogramm weiter. Um eine vollständige Entfernung zu verhindern, kopiert sich Schadsoftware unter irreführenden Dateinamen an verschiedene Stellen auf der Festplatte.

Erste Anzeichen: Hohe CPU-Auslastung

Eines ersten Symptome, das Administratoren auf einen Befall hinweisen kann, ist eine ungewöhnlich hohe CPU-Auslastung von nahezu 100 Prozent. Diese Belastung entsteht durch die intensive Nutzung der Rechenleistung für das Kryptomining. In Foren wie Reddit und Stack Overflow berichteten Administratoren bereits von ihrer erfolglosen Mühe, ein mysteriöses Programm zu entfernen, das trotz aller Maßnahmen immer wieder auftauchte.

Bereits vor der Veröffentlichung des Berichts von Aqua Security diskutierte die Linux-Community über die verdächtigen Aktivitäten. In zahlreichen Threads auf den Plattformen Reddit und Stack Overflow tauchte der Name „Perfctl“ bereits auf, nachdem Nutzer immer wieder über Probleme berichteten, die sich nicht dauerhaft lösen ließen. Viele Administratoren hatten vergeblich versucht, die Malware von ihren Servern zu entfernen, nur um festzustellen, dass sie immer wieder auftauchte.