Eine Backdoor, auf Deutsch Hintertür, ist ein Teil einer Software oder ein Schadprogramm, das die normale Zugriffssicherung umgeht und so einen heimlichen Zugang zu einem Computer oder einer geschützten Funktion eines Programms ermöglicht.
Auf einen Blick
Qsnatch ist laut BSI ein Trojaner für Linux-Geräte, der hauptsächlich die Netzwerkspeicher des Herstellers QNAP befällt und zu dessen Funktionen das Öffnen von Hintertüren zu infizierten Geräten gehört.
Bei einer bestätigten Infektion sollte nach Empfehlung des BSI das gesamte System neu aufgesetzt werden.
Das BSI rät, verfügbare Updates für Betriebssystem und Programme auf allen Geräten zeitnah einzuspielen, um Sicherheitslücken zu schließen.
Was ist Backdoor?
Schadprogramme mit Backdoor-Funktion öffnen Cyber-Kriminellen eine Hintertür, über die ein heimlicher Fernzugriff auf das betroffene System möglich ist. Laut BSI öffnet das Schadprogramm MyDoom eine Hintertür zum infizierten Gerät; durch diese Backdoor kann der Angreifer Zugriff auf das System erlangen und weitere Aktionen durchführen, von Informationsdiebstahl bis zum Nachladen weiterer Schadsoftware. Eine Hintertür muss nicht von Angreifern stammen: Eine solche Backdoor kann auch vom Autor einer Software selbst eingebaut worden sein und Benutzern ermöglichen, die normale Zugriffssicherung zu umgehen. Eine geschickt verbaute Hintertür ist zudem mitunter selbst mit fundierten Fachkenntnissen schwer zu erkennen. Ein Trojaner kann dazu dienen, eine Backdoor zu installieren, muss aber keine enthalten.
Richtet Schadsoftware auf einem System eines Versicherers eine Backdoor ein, umgeht der Angreifer die normalen Authentifizierungsverfahren und erhält unbefugten Fernzugriff auf das System oder eine geschützte Funktion. Cyber-Kriminelle versuchen laut BSI, Schadprogramme möglichst unbemerkt auf ein System zu schleusen. Wie weit der Zugriff reichen kann, zeigt Sunburst: Diese Backdoor gab einem Angreifer nahezu vollständige Kontrolle über ein betroffenes System.
Wie funktioniert Backdoor?
Eine Backdoor öffnet einen verdeckten Zugang, der die normale Zugriffssicherung umgeht; über diesen Zugang kann ein Angreifer Zugriff auf das System erlangen und weitere Aktionen durchführen. Der Weg auf das System ist nicht festgelegt: Der Zugang kann etwa über einen geöffneten E-Mail-Anhang entstehen, wie bei MyDoom, oder über eine manipulierte Version einer Software, wie bei Sunburst.
Bei Sunburst wurde angenommen, dass die Backdoor über eine manipulierte Version der Netzwerküberwachungsanwendung Orion verteilt wurde. Die Manipulation erfolgte im Build-Prozess, das Quellcode-Repository war nicht betroffen. Nach Angaben von SolarWinds gegenüber der US-Börsenaufsicht fügten die Angreifer den Schadcode dabei in ansonsten legitimen Code ein. Beim Trojaner Qsnatch für Linux-Geräte gehören laut BSI das Stehlen von Zugangsdaten und das Öffnen von Hintertüren zu den Funktionen. Läuft ein Schadprogramm mit Administratorrechten, hat es laut BSI Zugang zum gesamten System; Benutzerkonten mit reduzierten Rechten sollen verhindern, dass Schadprogramme Administratorrechte erhalten.
Schutz im Ernstfall
Vorbeugen
- Verfügbare Updates für Betriebssystem und Programme auf allen Geräten zeitnah einspielen, um Sicherheitslücken zu schließen
- Benutzerkonten mit reduzierten Rechten verwenden, damit Schadprogramme keine Administratorrechte und damit keinen Zugang zum gesamten System erhalten
- Unerwartete E-Mail-Anhänge und Links nicht ungeprüft öffnen, auch bei bekannten Absendern
Was tun im Ernstfall
- Das betroffene Gerät vom Netzwerk trennen: WLAN ausschalten und das Netzwerkkabel entfernen, wie es die Checkliste des BSI für den Ernstfall empfiehlt
- Den Verdacht sofort der internen IT-Sicherheit melden, bevor Beschäftigte etwas selbst deinstallieren oder bereinigen
- Das System durch die IT-Sicherheit analysieren und neu aufsetzen lassen (das BSI empfiehlt, das gesamte System neu aufzusetzen); Daten danach, gestützt auf das Ergebnis der Analyse, nur aus geprüften, integren Sicherungen wiederherstellen, die vor der Infektion erstellt wurden
- Die auf dem betroffenen System verwendeten Zugangsdaten unverzüglich in Abstimmung mit der IT-Sicherheit von einem nicht betroffenen Gerät aus ändern bzw. betroffene Konten vorübergehend sperren.
Beispiele aus der Praxis
- Systeme können mit MyDoom laut BSI durch das Öffnen bösartiger E-Mail-Anhänge infiziert werden.
- Bei den Angriffen mit der Backdoor Sunburst empfahl SolarWinds betroffenen Kunden, die Software sofort auf Versionen ohne den schädlichen Code zu aktualisieren, und die US-Heimatschutzbehörde wies Bundesbehörden an, Systeme mit dieser Software offline zu nehmen und bis zu einer Neuaufsetzung nicht wieder mit Netzwerken zu verbinden.
- Ein Schadprogramm auf einem System eines Versicherers richtet eine Backdoor ein; der Angreifer erhält so unbefugten Fernzugriff, ohne dass die normale Authentifizierung greift.
Die Varianten im Detail (2)
Juniper-Backdoor Juniper-Backdoor ist ein Fall, in dem ein heimlicher Zugang in Netzwerkgeräten eines Herstellers entdeckt wurde.
Das Beispiel zeigt, dass Hintertüren auch in der Lieferkette entstehen können und nicht nur durch Schadsoftware auf einzelnen Rechnern. Details zum Vorfall und zur Funktionsweise sind hier bewusst nicht ausgeführt.
Windows-Backdoor Windows-Backdoor ist ein heimlicher Zugang, der auf Windows-Systemen eingerichtet wird.
Er wird etwa als Dienst, geplante Aufgabe oder manipulierte Systemkomponente versteckt und erlaubt Angreifern, ohne erneute Anmeldung zurückzukehren. Der Begriff nennt die betroffene Plattform, nicht die Technik.
