Kostenloses Linux-Tool FirewallFalcon spioniert eigene Nutzer aus

Sicherheitsforscher haben im quelloffenen Tool FirewallFalcon Manager eine Hintertür entdeckt, die Angreifern Kontrolle über den Netzwerkverkehr verschafft.

Entdeckt wurde die Kampagne von Assaf Morag, Sicherheitsforscher beim Unternehmen Flare, nachdem einer der eigenen Honeypot-Server des Unternehmens kompromittiert und für den Einsatz von FirewallFalcon missbraucht worden war. FirewallFalcon Manager wird in einschlägigen Telegram-Gruppen aktiv als kostenloses, quelloffenes Werkzeug zur Verwaltung von VPN-, Proxy- und SSH-Tunneling-Infrastruktur beworben, mit Nutzern vor allem im Nahen Osten, in Afrika und weiteren Schwellenländern, wo es häufig zum Weiterverkauf von SSH-Tunneln oder zur Umgehung mobiler Datenlimits eingesetzt wird. Der öffentlich einsehbare Code des Tools verwaltet dabei durchaus reale, legitime Dienste wie Nginx, HAProxy, V2Ray/XRay, DNS-Tunneling, SSL-Zertifikate sowie Linux-Nutzerkonten.

Der eigentliche Angriff setzt bei der Komponente DT Tunnel an, einem legitimen brasilianischen VPN-Tunneling-Dienst. Normalerweise prüft dessen Software die Gültigkeit eines Kundenabonnements über eine Anfrage an den Server proxy.dtunnel.com.br. FirewallFalcon kapert diese Prüfung und leitet die Anfragen stattdessen unbemerkt an einen vom Angreifer kontrollierten Server um. Um dabei keinen Verdacht zu erregen, installiert die Schadsoftware zusätzlich ein gefälschtes Sicherheitszertifikat und verändert die lokale Hosts-Datei, wodurch der betroffene Rechner den Angreifer-Server fälschlich als vertrauenswürdig einstuft. In Kombination verschaffen sich Angreifer dadurch eine klassische Man-in-the-Middle-Position zwischen Nutzer und den eigentlichen DTunnel-Servern.

Ältere Linux-Versionen mit fest einprogrammiertem SSH-Zugang

Nach Angaben von Flare gingen frühere Versionen des Tools noch weiter: Über mit dem Werkzeug SHC verschleierte Installationsprogramme sammelten zusätzliche, versteckte Skripte Serverinformationen und versendeten diese über Telegram. Einige Varianten legten zudem ein fest einprogrammiertes, privilegiertes SSH-Konto mit bekannten Zugangsdaten an, über das sich der Betreiber jederzeit erneut Zugriff auf betroffene Systeme verschaffen konnte. Die Forscher fanden zudem einen im Projekt fest hinterlegten, gemeinsam genutzten DNS-API-Token, über dessen Analyse sich Hunderte zugehörige Serveradressen sowie wiederkehrende Subdomain-Muster identifizieren ließen, ein Hinweis darauf, dass FirewallFalcon offenbar zur Koordination eines größeren, verteilten Netzwerks aus Tunneling- und Proxy-Systemen dient und nicht bloß eigenständige Verwaltungssoftware darstellt.

Flare identifizierte insgesamt mehr als 650 aktive, mit der Infrastruktur verbundene Server sowie zwei Telegram-Gruppen mit zusammen mehreren tausend Mitgliedern, über die das Tool beworben wird. Nach Einschätzung der Forscher zeigt der Fall, dass Software-Supply-Chain-Angriffe längst nicht mehr auf etablierte Open-Source-Projekte beschränkt sind, sondern zunehmend auch in Untergrund- und Graumärkte vordringen, in denen Betreiber Werkzeuge mit weitreichenden Root-Rechten häufig ohne jede Code-Prüfung oder grundlegende Sicherheitskontrolle installieren.

(red)