TECHBOARD #6: SSHole öffnet gesperrte Konten ohne Passwort, Binance enthüllt Details zum Milliardendiebstahl

Real-world attacks

Am Anfang des milliardenschweren Angriffs auf Binance stand ein gefälschtes Vorstellungsgespräch. Laut der veröffentlichten Zeitleiste des Angriffs nahmen die Angreifer bereits im Juni einen DevOps-Ingenieur ins Visier. Bei der Installation eines KI-Tools lud er ein manipuliertes Homebrew-Paket herunter. Das Sicherheitsteam entdeckte die Infektion, ersetzte das Gerät und änderte die Anmeldedaten. Die Angreifer hatten jedoch bereits Informationen über seine Rolle und seine Verbindungen zu weiteren Teammitgliedern gesammelt. Im September folgte ein gefälschtes Vorstellungsgespräch mit einem anderen Entwickler. Die Angreifer gaben sich als Vertreter eines fiktiven Unternehmens aus und überzeugten ihn, eine Programmieraufgabe mit Malware herunterzuladen. Diese ersetzte eine legitime Komponente des Tools pyenv durch Schadcode und blieb von der Endpoint-Erkennung unbemerkt. Über das kompromittierte Gerät und ein internes KI-Tool erhielten die Angreifer anschließend Zugriff auf weitere Ingenieure, darunter auch auf ein Konto mit der Berechtigung, Container bereitzustellen.

Am 29. Oktober stellten die Angreifer einen schädlichen Container bereit und erhielten Zugriff auf einen internen Dienst zum Signieren von Transaktionen. Mithilfe des Ethereum-Mechanismus EIP-7702 übertrugen sie einen Teil der Berechtigungen einer Kryptowallet auf ihren eigenen Smart Contract. Selbst das Aussetzen von Auszahlungen konnte den Abfluss der Kryptowährungen daher nicht sofort stoppen. Die unbefugten Autorisierungen waren direkt in der Blockchain verankert. Ihre Aufhebung wurde zusätzlich durch das mehrstufige MPC-Signaturverfahren erschwert. Binance konnte rund 2,85 Milliarden US-Dollar einfrieren, weitere Mittel flossen jedoch noch mehrere Stunden nach der Entdeckung des Angriffs ab.

Bei der tschechischen Kryptobörse Coinmate wurden personenbezogene Daten von 123.200 Kunden entwendet. Am 30. Oktober drang ein Angreifer in einen Teil der internen Systeme ein. Laut den veröffentlichten Informationen zum Vorfall wurden weder Passwörter noch Kundengelder kompromittiert. Die erbeuteten Daten werden jedoch höchstwahrscheinlich für gezieltes Phishing und betrügerische Kontaktversuche verwendet.

Welt der Schwachstellen

OpenSSH ermöglicht die Anmeldung bei Konten mit einem beliebigen Passwort, das länger als 256 Zeichen ist. Laut der technischen Analyse von SSHole betrifft CVE-2026-123158 bestimmte Linux-Konfigurationen, die die musl-Bibliothek ohne PAM verwenden. Besonders gefährdet sind einige Bereitstellungen von Alpine Linux und OpenWrt sowie Container-Umgebungen. Die Schwachstelle entstand durch das Zusammenspiel von Änderungen, die über mehrere Jahrzehnte hinweg eingeführt wurden. Unix-Systeme verwenden das Zeichen * in der Passwortdatenbank, um Konten zu kennzeichnen, bei denen keine Anmeldung per Passwort möglich sein soll. Seit 2012 gibt die musl-Bibliothek jedoch dasselbe Zeichen zurück, wenn in der Funktion crypt() ein Fehler auftritt. Die Funktion verweigert die Verarbeitung von Passwörtern mit mehr als 256 Zeichen. Unter bestimmten Bedingungen vergleicht OpenSSH anschließend zwei identische Zeichen und bewertet die Authentifizierung fälschlicherweise als erfolgreich.

Auch eine ältere Korrektur in OpenSSH trug zur vollständigen Angriffskette bei. Es handelt sich nicht um eine universelle Umgehung der SSH-Authentifizierung. Eine anfällige Konfiguration muss musl ohne PAM verwenden, die Anmeldung per Passwort erlauben, ein mit * gekennzeichnetes Konto sowie ein weiteres Konto mit einem gültigen Hash enthalten. In offiziellen Alpine-Cloud-Images kann das betroffene Konto außerdem Zugriff auf passwortloses doas haben, wodurch sich die Auswirkungen bis auf Root-Rechte ausweiten. OpenSSH veröffentlichte mit Version 10.6p2 eine Korrektur. Bei der Untersuchung möglicher Vorfälle können Sicherheitsteams in den Authentifizierungsprotokollen nach erfolgreichen Passwortanmeldungen bei Konten suchen, die eigentlich gesperrt sein sollten.

Microsoft Paint enthielt eine Schwachstelle, die eine Ausführung von Schadcode aus der Ferne ermöglichen konnte. CVE-2026-83844 weist einen CVSS-Wert von 8,1 auf. Microsoft beschreibt einen möglichen Angriff über ein speziell präpariertes Netzwerkpaket, veröffentlichte jedoch nicht genügend technische Details, um den betroffenen Dienst eindeutig zu erklären. Die Korrektur ist über den Microsoft Store und nicht über den standardmäßigen Windows-Update-Prozess verfügbar. Administratoren sollten daher die installierte Version von Paint separat überprüfen.

Tool-Tipps

TrustedHive zeigt, wie sich der privilegierte Dienst TrustedInstaller für das unbefugte Schreiben von Dateien missbrauchen lässt. Der Proof of Concept für Windows 11 kombiniert die COM-Schnittstelle Component Based Servicing mit der Umleitung von Dateipfaden über Junctions. Für Red Teamer handelt es sich um eine interessante Technik zur lokalen Rechteausweitung. Das erfolgreiche Schreiben einer Datei bedeutet jedoch nicht automatisch, dass SYSTEM-Rechte erlangt wurden.

CITADELO News

Erkennen Sie modernes Phishing, bevor Sie auf einen schädlichen Link klicken? Im neuen interaktiven Phishing-Quiz von Citadelo können Sie Ihre Reaktionen auf betrügerische Nachrichten und Situationen aus dem Arbeitsalltag testen.

Eine Zahlungskarte kann auch nach Ablauf ihres Gültigkeitsdatums noch funktionieren. In unserem neuen Artikel über den Zombie-Card-Angriff stellen wir Forschungsergebnisse zu den Unterschieden zwischen dem auf der Karte gespeicherten Ablaufdatum und den von Zahlungsterminals überprüften Daten vor.

Was könnte ein Angreifer nach der Kompromittierung eines einzigen Geräts erreichen?

Red Teaming überprüft realistische Angriffswege über Technologien, Menschen und Prozesse hinweg und zeigt, ob Ihr Unternehmen diese rechtzeitig erkennen und stoppen kann.