bei Simplicissimus zur XZ Utils Backdoor
Simplicissimus hat den Fall der XZ-Backdoor aufgearbeitet – wohl der raffinierteste Supply-Chain-Angriff der jüngeren Zeit. Durch Zufall entdeckt, scheiterte der Angriff nur Haaresbreite.
Ich habe die Operation als Gast mit eingeordnet.
Die XZ-Backdoor war in mehreren Dimensionen einzigartig
xz Utils (bzw. die Bibliothek liblzma) ist eine kleine, ehrenamtlich gepflegte Kompressions-Software, die in praktisch jeder Linux-Distribution steckt – und auf vielen Systemen über systemd auch beim SSH-Login mitgeladen wird.
Übernahme durch Social Engineering
Ab 2021 arbeitete sich jemand unter dem Pseudonym „Jia Tan" langsam ins Vertrauen des Projekts: mit geduldigen, guten Beiträgen – und flankiert von Sockenpuppen-Accounts, die Druck auf den überlasteten ehrenamtlichen Maintainer Lasse Collin machten, bis „Jia Tan" schließlich selbst Maintainer-Rechte bekam.
Binary-Patching im Build-Prozess
Im Februar 2024 schleuste Jia Tan dann eine sehr elegant versteckte Hintertür ein:
Versteckt im Build-Prozess klinkte sie sich über liblzma in den SSH-Daemon ein und hätte jedem, der den passenden geheimen Schlüssel besitzt, unbemerkt vollen Fernzugriff auf betroffene Server gegeben – eine nahezu perfekte, weltweite Backdoor.
Andres Freund ist ein Held
Er ging der Sache nach – und stieß auf die Backdoor. Aufgeflogen ist das durch eine Mischung aus Zufall und Aufmerksamkeit: Dem deutschen Entwickler Andres Freund (Microsoft) fiel auf, dass SSH-Logins auf einem Testsystem (Debian „unstable") plötzlich mehr CPU-Zeit verbrauchten und einen Sekundenbruchteil länger dauerten.
Das Ergebnis: CVE-2024-3094, mit dem höchstmöglichen CVSS-Score von 10,0.
Eine über Jahre geplante Operation – gescheitert an einem halben Sekundenbruchteil und einem, der genau hinsah. Die Akribie von Andres Freund ist wirklich beeindruckend. Simplicissimus titelt treffend “Wie dieser Deutsche das Internet gerettet hat”.