Tailscale und OpenSSH: Hacker sichert sich Dauerzugriff

Ein französischsprachiger Angreifer nutzte Tailscale und OpenSSH, um sich nach dem Ausfall seines C2-Servers dauerhaften Zugriff auf ein kompromittierte…

Der Einbruch: Keylogger und gestohlene Zugangsdaten

Der Angriff begann unspektakulär. Ein französischsprachiger Hacker brach in das Netzwerk eines kleinen französischen Automobilzulieferers ein. Er installierte einen Keylogger und erbeutete Banking- und E-Mail-Anmeldedaten. Nichts Außergewöhnliches – bis zum Schlussakt.

Denn der Angreifer dachte voraus. Bevor sein Command-and-Control-Server (C2) offline ging, installierte er OpenSSH und Tailscale auf dem infiltrierten Rechner. Damit schuf er einen versteckten Hintereingang, der völlig unabhängig vom C2 funktionierte.

Die clevere Hintertür: Tailscale und OpenSSH

Tailscale ist ein VPN-Dienst auf Basis von WireGuard, der Geräte über ein Mesh-Netzwerk verbindet. OpenSSH ermöglicht verschlüsselte Shell-Zugriffe. Zusammen ergaben sie eine robuste Hintertür: Selbst als der Havoc-C2-Server am nächsten Tag ausfiel, konnte der Hacker über Tailscale eine SSH-Verbindung zum Opfer-System aufbauen.

Stellen Sie sich vor: Sie haben die Kontrolle verloren, aber der Angreifer kann immer noch auf Ihr System zugreifen – ohne dass Sie es merken. Genau das passierte hier.

Warum dieser Angriff besonders ist

Viele Hacker verlassen sich ausschließlich auf ihre C2-Infrastruktur. Fällt sie aus, sind sie blind. Dieser Angreifer jedoch baute eine redundante Verbindung auf. Das ist selten und zeigt ein ungewöhnliches Maß an Vorbereitung für einen „Junior-Hacker“.

Die Nutzung legitimer Werkzeuge wie Tailscale und OpenSSH erschwert zudem die Erkennung. Diese Programme werden in vielen Unternehmen eingesetzt. Ein Angriff, der sie missbraucht, tarnt sich als normale Aktivität.

Was Sie daraus lernen können

Sie sollten nicht nur auf verdächtige Malware achten, sondern auch auf ungewöhnliche Nutzung legitimer Software. Sicherheitsmaßnahmen wie Netzwerksegmentierung und strenge Zugriffskontrollen können helfen. Überwachen Sie ungewöhnliche VPN-Verbindungen und SSH-Sitzungen.

Der Fall zeigt: Hacker werden kreativer. Sie nutzen alltägliche Tools für ihre Zwecke. Ihre Abwehr muss mitdenken.

Die Lehre: Redundanz vermeiden

Der Angreifer schuf eine Hintertür, die unabhängig vom C2 funktionierte. Das ist wie ein Geheimgang, den der Einbrecher baut, während er das Haus ausräumt. Sie sollten sicherstellen, dass nach einem Einbruch alle Zugänge – auch die ungewöhnlichen – geschlossen werden.

Eine gründliche Forensik nach einem Vorfall ist unerlässlich. Sonst kann der Angreifer jederzeit zurückkehren.