Backdoors direkt in PHP platziert - Katastrophe wurde knapp verhindert

In letzter Minute konnte verhindert werden, dass über die Program­miersprache PHP eine Backdoor auf zahlreiche Webserver und Entwickler-PCs geschleust wird. Angreifern war es gelungen, Schadcode bis in die offiziellen Sourcen einzuschleusen. Eine entsprechende Warnung durch das PHP-Team wurde am Wochenende veröffentlicht. Demnach haben die Angreifer wohl eine Schwachstelle im Git-System des PHP-Projektes genutzt, um eigenen Quellcode hinzuzufügen. Damit dies den anderen Entwicklern nicht direkt auffällt, fälschten sie den Absender ihrer Beiträge. So wirkten diese auf den ersten Blick wie Commits des PHP-Erfinders Rasmus Lerdorf oder dem ebenfalls zum Kernteam gehörenden Nikita Popov, mit denen lediglich kleinere Rechtschreibfehler korrigiert werden sollen.

Die Angreifer setzten darauf, dass andere beteiligte Programmierer nicht genau hinsehen, was dort berichtigt werden sollte. Diese Hoffnung erfüllte sich aber glücklicherweise nicht. Und so entdeckte dann doch jemand, dass da gerade zwei Backdoors in den Quellcode von PHP eingebaut werden, die Folgen für Millionen von Nutzern haben können. Eine der Code-Einreichungen

Umzug auf GitHub

Denn solche Supply-Chain-Angriffe sind für die Täter sehr inte­ressant. Im vorlie­genden Fall hätte es genügt, den Schad­code in PHP unter­zubringen, um nach und nach eine extrem große Zahl von Webservern zu kompro­mit­tieren. Denn mit dem Ein­spielen von Updates wäre der Schad­code mit­instal­liert worden. Anschlie­ßend wäre es den Angrei­fern möglich gewesen, weiteren Code auf die betrof­fenen Server zu schleusen und zur Aus­führung zu bringen.

Die Attacke auf die PHP-Sourcen ist wohl auf eine Schwachstelle in der Git-Installation selbst und nicht auf übernommene Nutzer-Accounts zurückzuführen. Als Konsequenz aus der Sache hat sich das PHP-Team entschlossen, den Betrieb eines eigenen Systems zur Code-verwaltung aufzugeben und das gesamte Projekt zukünftig direkt auf GitHub zu hosten. Die eingeschleusten Backdoors sind bereits wieder vollständig entfernt worden. Darüber hinaus arbeiten sich die Unterstützer derzeit durch die zurückliegenden Code-Einreichungen, um sicherzustellen, dass keine weiteren Schwachstellen in PHP eingebaut wurden.

Siehe auch: