Mobile-Menu

Linux-Malware perfctl betrifft Millionen Geräte Malware auf Linux tarnt sich und läuft oft lange unentdeckt

Von Thomas Joos 1 min Lesedauer

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG
Fsas Technologies GmbH
FTAPI Software GmbH

Die Linux-Malware perfctl ist anscheinend seit Jahren aktiv. Die Malware tarnt sich geschickt und läuft dadurch eine lange Zeit unentdeckt. Nach einer Untersuchung sind Millionen Geräte von perfctl betroffen.

Mithilfe von Rootkits versteckt sich die Malware perfctl im Netzwerk und konnte so Millionen Geräte infizieren.(Bild: Dall-E / KI-generiert)
Mithilfe von Rootkits versteckt sich die Malware perfctl im Netzwerk und konnte so Millionen Geräte infizieren.
(Bild: Dall-E / KI-generiert)

Die Malware perfctl stellt eine erhebliche Bedrohung für Linux-Server dar und zielt weltweit auf Millionen von Systemen. Über die letzten Jahre hat sie mehr als 20.000 Fehlkonfigurationen genutzt, um Server zu kompromittieren. Besonders gefährdet sind Linux-Server, die mit dem Internet verbunden sind. Die Malware zeichnet sich durch ihre Tarnung und Persistenz aus: Sie nutzt Rootkits, versteckt sich im System, stoppt Aktivitäten bei Nutzerinteraktionen und bleibt unbemerkt im Hintergrund aktiv.

Perfctl nutzt auch das TOR-Netzwerk

Perfctl nutzt sowohl Unix-Sockets für interne Kommunikation als auch das TOR-Netzwerk für externe Verbindungen, um ihre Aktivitäten zu verschleiern. Nach der Installation löscht die Malware ihre Binärdatei und repliziert sich unter falschen Namen auf der Festplatte, öffnet eine Backdoor und versucht, Root-Rechte über Schwachstellen wie Polkit (CVE-2021-4043) zu erlangen. Häufig wird die kompromittierte Infrastruktur für Krypto-Mining genutzt, was die Serverressourcen stark beansprucht.

Die Malware versteckt sich durch das Manipulieren von Systemdateien und -diensten. Sie modifiziert ~/.profile und ~/.bashrc, um bei jedem Systemstart wieder aktiv zu werden. Programme wie ldd oder crontab werden verändert, um die laufenden Schadprozesse zu tarnen. Zudem nutzt perfctl Rootkits, um sicherheitsrelevante Funktionen wie die Benutzer-Authentifizierung zu umgehen und die Erkennung durch Sicherheitsüberwachungstools zu verhindern.

Besonders gefährlich ist, dass die Malware nicht nur auf bekannte Schwachstellen abzielt, sondern auch durch Fehlkonfigurationen und ungesicherte Systeme eindringt. Die Angreifer verwenden die kompromittierten Server für Krypto-Mining und Proxy-Jacking, wobei die Kommunikation über TOR verschlüsselt erfolgt.

Was kann man gegen die perfctl-Malware tun?

Zur Abwehr von perfctl sind regelmäßige Sicherheitsupdates, die Deaktivierung ungenutzter Dienste und strikte Zugriffsrichtlinien erforderlich. Laufzeitüberwachungstools, die Rootkits und verdächtiges Verhalten erkennen, bieten zusätzlichen Schutz.

(ID:50200000)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte